AMP لوحدة تحكم نقاط النهاية وعامل التصفية الذي تم عرضه مؤخرا

المقدمة

يصف هذا المستند شرح خطأ عامل التصفية "Last See" المشار إليه إلى CSCvh31177 في "الحماية المتقدمة من البرامج الضارة" (AMP) لنقاط النهاية.

تمت المساهمة بواسطة كالي هيس، مهندس Cisco.

المتطلبات الأساسية 

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

• الوصول إلى لوحة معلومات نقاط النهاية من Cisco AMP

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى البرنامج:

• Cisco AMP لنقاط النهاية لوحدة تحكم نقاط النهاية، الإصدار 5.4.20190917

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

المشكلة

يعرض عامل التصفية ل "العرض الأخير" من صفحة أجهزة الكمبيوتر على وحدة التحكم، الموصلات التي تم رؤيتها في ال 24 ساعة الأخيرة والتي تظهر في القائمة.

السبب

يعمل السحب الحالي لبيانات "العرض الأخير" بشكل فردي كل 24 ساعة. على الرغم من أن البيانات التي تنعكس في صفحة "أجهزة الكمبيوتر" والمخرجات للتصدير إلى CSV ل "آخر مشاهدة" هي في الوقت الحقيقي، فإن عامل التصفية نفسه يعمل على تشغيل البيانات المحفزة من تلك المهمة الفردية. وقد تم تنفيذ هذا الإجراء لزيادة سرعة النتائج، نظرا لأن تحليل الطوابع الزمنية في الوقت الفعلي لبيئات المؤسسات الكبيرة يمكن أن يؤدي إلى فترات انتهاء المهلة وقفل قاعدة البيانات.

شرح "أجهزة الكمبيوتر التي تم اكتشافها مؤخرا" في قائمة انتظار لأكثر من 7 أيام

كان الجهاز غير متصل لمدة 7 أيام إلى أن تم تشغيل وظيفة "آخر ظهور". 

مثال في العالم الحقيقي

• HostA.randomdomain.net" في حادث مؤسف مع فنجان قهوة كامل ولم تسترد اللوحة الأم عافيتها كاملة في العاشر من أغسطس
• HostA.randomdomain.netيجلس الآن في مستودع التصليح حتى 20 سبتمبر^/أيلول
• في 21 سبتمبر²¹، تعود صفحة HostA.randomdomain.net إلى الشبكة بعد مرور 4 ساعات على تشغيل وظيفة "آخر ظهور" قبل ساعتين من قيام المدقق بتصدير أجهزة الكمبيوتر التي لم يتم رؤيتها خلال الثلاثين يوما الماضية
• HostA.randomdomain.net لا يزال مدرجا في وظيفة "آخر ظهور" على أنه أكثر من 30 يوما لم يظهر. وعلى الرغم من أنه الآن يعمل بكامل طاقته ولا يوجد به قهوة، إلا أن مراجع الحسابات يصطاده الآن في تصديره "الخامل"

حل قصير الأجل

لا تستغرق المهمة نفسها 24 ساعة كاملة للتشغيل، لكنها قد تستغرق 12 ساعة على الأقل. لزيادة دقة عامل التصفية، يجري حاليا تطوير إعادة الجدولة التلقائية للوظيفة بعد اكتمال المهمة السابقة، ومن المتوقع أن تقطع أي مكان من 7 إلى 12 ساعة من الوقت المستغرق خارج إطار الدفعة. 

حل طويل الأجل

إعادة صياغة كاملة لآلية "العرض الأخير" التي تكون أقرب إلى الوقت الحقيقي عند سحب البيانات. ويتطلب هذا الحل تنفيذ هيكل جديد تماما لقاعدة البيانات يجري إعداده حاليا مع الإصدار المقترح في السنة التقويمية المقبلة.