أستكشاف أخطاء رسالة التنبيه وإصلاحها - يتعذر الوصول إلى خدمة سمعة الملف

المقدمة

يصف هذا المستند التنبيه المنسوب إلى جهاز أمان البريد الإلكتروني من Cisco (ESA) مع تمكين الحماية المتقدمة من البرامج الضارة (AMP)، حيث تكون الخدمة غير قادرة على الاتصال عبر المنفذ 32137 أو 443 للتعرف على الملف.

"خدمة "سمعة الملف" غير قابلة للوصول" تم إستلام خطأ ل AMP

تم إصدار AMP للاستخدام على ESA في الإصدار 8.5.5 من AsyncOS لأمان البريد الإلكتروني. يتلقى المسؤولون هذه الرسالة من خلال ترخيص AMP وتمكينه على ESA:

The Warning message is:

The File Reputation service is not reachable.

Last message occurred 2 times between Tue Sep 10 14:15:14 2024 and Tue Sep 10 14:16:23 2024.

Version: 15.5.1-055
Serial Number: 123A82F6780XXX9E1E10-XXX5DBEFCXXX
Timestamp: 10 Sep 2024 14:19:00 -0500

AsyncOS 14.x أو إصدار سابق

يتم تمكين خدمة AMP ولكن قد لا تتصل على الشبكة عبر المنفذ 32137 للحصول على سمعة الملف.

إذا كان هذا هو الحال، يمكن أن يختار مسؤول ESA أن يكون لديه اتصال "سمعة الملف" عبر المنفذ 443.

للقيام بذلك، قم بتشغيل ampconfig > متقدم من واجهة سطر الأوامر وتأكد من تحديد Y ل هل تريد تمكين اتصال SSL (المنفذ 443) لسمعة الملف؟ [N]>:

(Cluster example.com)> ampconfig

Choose the operation you want to perform:
- SETUP - Configure Advanced-Malware protection service.
- ADVANCED - Set values for AMP parameters (Advanced configuration).
- SETGROUP - Add this appliance to the group of appliances that can share File Analysis reporting details.
- CACHESETTINGS - Configure the cache settings for AMP.
- CLUSTERSET - Set how advanced malware protection is configured in a cluster.
- CLUSTERSHOW - Display how advanced malware protection is configured in a cluster.
[]> advanced

Enter cloud query timeout?
[15]>

Choose a file reputation server:
1. AMERICAS (cloud-sa.amp.cisco.com)
2. AMERICAS(Legacy) (cloud-sa.amp.sourcefire.com)
3. EUROPE (cloud-sa.eu.amp.cisco.com)
4. APJC (cloud-sa.apjc.amp.cisco.com)
5. Private reputation cloud
[1]>

Do you want use the recommended analysis threshold from cloud service? [Y]>

Enter heartbeat interval?
[15]>

Do you want to enable SSL communication (port 443) for file reputation? [N]> Y

Proxy server detail:
Server : 
Port : 
User :

Do you want to change proxy detail [N]>

Do you want to suppress the verdict update alerts for all messages that are not delivered to the recipient? [N]>

Choose a file analysis server:
1. AMERICAS (https://panacea.threatgrid.com)
2. EUROPE (https://panacea.threatgrid.eu)
3. Private analysis cloud
[1]>

إذا كنت تستخدم واجهة المستخدم الرسومية، فأختر خدمات الأمان > سمعة الملف وتحليله > تحرير الإعدادات العامة > إعدادات متقدمة (منسدلة) وتأكد من تحديد خانة الاختيار إستخدام SSL كما هو موضح هنا:

قم بتطبيق أي وجميع التغييرات على التكوين.

وأخيرا، راجع سجل AMP الحالي للاطلاع على نجاح الخدمة والاتصال أو فشلهما. يمكنك تحقيق ذلك من واجهة سطر الأوامر (CLI) باستخدام أمبير الذيل.

قبل إجراء التغييرات على amconfig > متقدم، كنت سترى هذا في سجلات AMP:

Mon Jan 26 10:11:16 2015 Warning: amp The File Reputation service in the cloud 
is unreachable.
Mon Jan 26 10:12:15 2015 Warning: amp The File Reputation service in the cloud 
is unreachable.
Mon Jan 26 10:13:15 2015 Warning: amp The File Reputation service in the cloud 
is unreachable.

بعد إجراء التغيير على amconfig > متقدم، يمكنك مشاهدة ذلك في سجلات AMP:

Mon Jan 26 10:19:19 2015 Info: amp stunnel process started pid [3725]
Mon Jan 26 10:19:22 2015 Info: amp The File Reputation service in the cloud 
is reachable.
Mon Jan 26 10:19:22 2015 Info: amp File reputation service initialized 
successfully
Mon Jan 26 10:19:22 2015 Info: amp File Analysis service initialized 
successfully
Mon Jan 26 10:19:23 2015 Info: amp The File Analysis server is reachable
Mon Jan 26 10:20:24 2015 Info: amp File reputation query initiating. File Name = 
'amp_watchdog.txt', MID = 0, File Size = 12 bytes, File Type = text/plain
Mon Jan 26 10:20:24 2015 Info: amp Response received for file reputation query 
from Cloud. File Name = 'amp_watchdog.txt', MID = 0, Disposition = file unknown, 
Malware = None, Reputation Score = 0, sha256 = a5f28f1fed7c2fe88bcdf403710098977
fa12c32d13bfbd78bbe27e95b245f82, upload_action = 1

يتم تشغيل ملف amp_watchdog.txt كما هو موضح في المثال السابق كل 10 دقائق ويتم تتبعه في سجل AMP. يعد هذا الملف جزءا من AMP.

سيكون أي استعلام عادي في سجل AMP مقابل رسالة من نوع (أنواع) الملفات التي تم تكوينها لسمعة الملف وتحليل الملف مماثلا لهذه الرسالة:

Wed Jan 14 15:33:01 2015 Info: File reputation query initiating. File Name = 
'securedoc_20150112T114401.html', MID = 703, File Size = 108769 bytes, File 
Type = text/html
Wed Jan 14 15:33:02 2015 Info: Response received for file reputation query from 
Cloud. File Name = 'securedoc_20150112T114401.html', MID = 703, Disposition = file 
unknown, Malware = None, Reputation Score = 0, sha256 = c1afd8efe4eeb4e04551a8a0f5
533d80d4bec0205553465e997f9c672983346f, upload_action = 1

باستخدام معلومات السجل هذه، يمكن للمسؤول ربط معرف الرسالة (MID) في سجلات البريد.

أستكشاف الأخطاء وإصلاحها بشكل إضافي

راجع إعدادات جدار الحماية والشبكة لضمان فتح اتصال SSL لهذه:

يمكنك إختبار الاتصال الأساسي من ESA إلى خدمة السحابة عبر برنامج Telnet على 443 لضمان إمكانية وصول الجهاز لديك إلى خدمات AMP وسمعة الملفات وتحليل الملفات بنجاح.

ملاحظة: يتم تكوين العناوين الخاصة بسمعة الملف وتحليل الملفات على واجهة سطر الأوامر (CLI) باستخدام الأمرenable config > خيارات متقدمة أو من واجهة المستخدم الرسومية (GUI) مع خدمات الأمان > سمعة الملف وتحليله > تحرير الإعدادات العامة > إعدادات متقدمة (منسدلة).

ملاحظة: إذا كنت تستخدم وكيل نفق بين ESA وخادم (خوادم) سمعة الملف، فقد يطلب منك تمكين خيار تخفيف عملية التحقق من صحة الشهادة لوكيل النفق. يتم توفير هذا الخيار لتخطي التحقق من صحة الشهادة القياسية إذا لم يتم توقيع شهادة خادم وكيل النفق من قبل مرجع جذر موثوق به من قبل ESA. على سبيل المثال، حدد هذا الخيار إذا كنت تستخدم شهادة موقعة ذاتيا على خادم وكيل نفق داخلي موثوق به.

مثال سمعة الملف:

10.0.0-125.local> telnet cloud-sa.amp.sourcefire.com 443

Trying 23.21.199.158...
Connected to ec2-23-21-199-158.compute-1.amazonaws.com.
Escape character is '^]'.
^]
telnet> quit
Connection closed.

مثال تحليل الملف:

10.0.0-125.local> telnet panacea.threatgrid.com 443

Trying 69.55.5.244...
Connected to 69.55.5.244.
Escape character is '^]'.
^]
telnet> quit
Connection closed.

إذا كان بإمكان ESA إستخدام برنامج Telnet إلى خادم سمعة الملف، ولا يوجد وكيل للتحميل يعمل على فك تشفير الاتصال، فقد يلزم إعادة تسجيل الجهاز باستخدام شبكة التهديدات. على واجهة سطر أوامر (CLI) ESA هناك أمر مخفي:

10.0.0-125.local> diagnostic

Choose the operation you want to perform:
- RAID - Disk Verify Utility.
- DISK_USAGE - Check Disk Usage.
- NETWORK - Network Utilities.
- REPORTING - Reporting Utilities.
- TRACKING - Tracking Utilities.
- RELOAD - Reset configuration to the initial manufacturer values.
- SERVICES - Service Utilities.
[]> ampregister

AMP registration initiated.

AsyncOS 15.x أو إصدار أحدث

تأكد من تحديد خادم "سمعة الملف" الصحيح. كما يمكن تحقيق ذلك في واجهة المستخدم الرسومية (GUI) من خلال الانتقال إلى خدمات الأمان > سمعة الملف وتحليله > تحرير الإعدادات العامة > الإعدادات المتقدمة لسمعة الملف > خادم سمعة الملف.

ملاحظة: للحصول على معلومات اسم المضيف والمنافذ لتكوين جدار الحماية الخاص بك، يرجى مراجعة قسم معلومات جدار الحماية ضمن دليل المستخدم هنا. 

(Cluster example.com)> ampconfig

File Reputation: Enabled
File Analysis: Enabled
Appliance Group ID/Name: Not part of any group yet


Choose the operation you want to perform:
- SETUP - Configure Advanced-Malware protection service.
- ADVANCED - Set values for AMP parameters (Advanced configuration).
- SETGROUP - Add this appliance to the group of appliances that can share File Analysis reporting details.
- CACHESETTINGS - Configure the cache settings for AMP.
- CLUSTERSET - Set how advanced malware protection is configured in a cluster.
- CLUSTERSHOW - Display how advanced malware protection is configured in a cluster.
[]> advanced

Enter cloud query timeout?
[20]>

Choose a file reputation server:
1. US Cloud
2. EU Cloud
3. APJC Cloud
4. Private reputation cloud
[1]>

Do you want use the recommended analysis threshold from cloud service? [Y]>

Enter heartbeat interval?
[15]>

Proxy server detail:
Server : 
Port : 
User : 
Passphrase:

Do you want to change proxy detail [N]>

Do you want to suppress the verdict update alerts for all messages that are not delivered to the recipient? [Y]>

Choose a file analysis server:
1. AMERICAS (https://panacea.threatgrid.com)
2. AUSTRALIA (https://panacea.threatgrid.com.au)
3. CANADA (https://panacea.threatgrid.ca)
4. EUROPE (https://panacea.threatgrid.eu)
5. Private analysis cloud
[1]>

Use Existing File Reputation Proxy? [N]>

Proxy server detail:
Server : 
Port : 
User : 
Password :

Do you want to change proxy detail [N]>

File Reputation: Enabled
File Analysis: Enabled
Appliance Group ID/Name: Not part of any group yet

معلومات ذات صلة

• إختبار ESA للحماية المتقدمة من البرامج الضارة (AMP)
• أدلة مستخدم ESA
• الأسئلة المتداولة حول ESA: ما هو معرف الرسالة (MID) أو معرف اتصال الحقن (ICID) أو معرف اتصال التسليم (DCID)؟
• كيف يمكنني البحث وعرض سجلات البريد على ESA؟
• الدعم التقني والمستندات - Cisco Systems