تكوين الكشف المبكر عن الحزم ل AppID في الدفاع ضد تهديد جدار الحماية الآمن 7.4

> curl https://www.example.com/
curl: (35) OpenSSL SSL_connect: SSL_ERROR_SYSCALL in connection to www.example.com:443 

> curl https://192.0.2.1/
curl: (7) Failed to connect to 192.0.2.1 port 443: Connection refused

مركز إدارة جدران الحماية Walkthrough

خطوات إنشاء مكتشف مخصص باستخدام واجهة برمجة التطبيقات (API)

قم بإنشاء مكتشف مخصص جديد على FMC من:

• Policies > Application Detectors > Create Custom Detector .

• قم بتحديد الاسم والوصف.
  • أختر التطبيق من القائمة المنسدلة.
  • حدد نوع المكتشف المتقدم.

• قم بتحميل ملف LUA تحت معايير الكشف. قم بحفظ جهاز الكشف وتنشيطه.

تم تعطيل RecEnabled v/s

• يظهر الحدثان بداية الاتصال v/s نهاية الاتصال عند تمكين إعادة الفحص.

ملاحظة: أشياء يمكن ملاحظتها:

1. يتم تعريف "فرق HTTPS و Webex و Webex" بواسطة واجهة برمجة التطبيقات (API) في بداية الاتصال. بما أن عملية إعادة الفحص صحيحة، يستمر اكتشاف التطبيقات ويتم تحديث AppIds إلى 'HTTPS وعميل SSL و Gyazo Teams'.

2. لاحظ عدد حزم البادئ والمستجيب. تتطلب أساليب اكتشاف التطبيقات العادية حزم أكثر بكثير من واجهة برمجة التطبيقات.

أستكشاف الأخطاء وإصلاحها/التشخيص

نظرة عامة على التشخيص

• تتم إضافة سجلات جديدة في تصحيح أخطاء تعريف تطبيق دعم النظام للإشارة إلى ما إذا تم العثور على أي تطبيقات بواسطة واجهة برمجة تطبيقات اكتشاف الحزم الأولى.
• تظهر السجلات أيضا إذا اختار المستخدم إعادة فحص حركة المرور.
• يمكن العثور على محتويات ملف مكتشف LUA الذي تم تحميله بواسطة المستخدم على FTD ضمن /var/sf/appid/custom/lua/<UUID> .
• أي أخطاء في ملف LUA يتم إلقاؤها على FTD في ملف /var/log/messages في وقت تنشيط الكاشف.

CLI: دعم النظام تطبيق-identification-debug

192.0.2.1 443 -> 192.168.1.16 51251 6 AS=4 ID=0 New AppId session
192.0.2.1 443 -> 192.168.1.16 51251 6 AS=4 ID=0 Host cache match found on first packet, service: HTTPS(1122), client: AOL(1419), payload: AOL(1419), reinspect: False
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 app event with client changed, service changed, payload changed, referred no change, misc no change, url no change, tls host no change, bits 0x1D
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 New firewall session
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 Starting with minimum 2, 'New-Rule-#1-MONITOR', and SrcZone first with zones 1 -> 1, geo 0(xff 0) -> 0, vlan 0, src sgt: 0, src sgt type: unknown, dst sgt: 0, dst sgt type: unknown, svc 1122, payload 1419, client 1419, misc 0, user 9999997, no url or host, no xff
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 match rule order 2, 'New-Rule-#1-MONITOR', action Audit
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 match rule order 3, 'New-Rule-#2-BLOCK_RESET', action Reset
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 MidRecovery data sent for rule id: 268437504, rule_action:5, rev id:3558448739, rule_match flag:0x1
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 Generating an SOF event with rule_id = 268437504 ruleAction = 5 ruleReason = 0
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 reset action

موقع محتوى كاشفات AppID Lua

لتأكيد ما إذا كان مكتشف LUA مع واجهة برمجة تطبيقات جديدة موجودة على الجهاز/FTD، يمكنك البحث عن ما إذا كان AddHostFirstPktApp API قيد الاستخدام في مجلدين لاكتشاف التطبيقات:

1. كاشفات VDB AppID/var/sf/appid/odp/lua

2 - أجهزة الكشف المخصصة -/var/sf/appid/custom/lua

على سبيل المثال:grep addHostFirstPktApp *  في كل مجلد.


مشاكل العينة:

1. المشكلة: لم يتم تنشيط مكتشف LUA المخصص على FMC.

           الموقع المطلوب التحقق منه:  /var/sf/appid/custom/lua/

           النتيجة المتوقعة: يجب وجود ملف واحد لكل مكتشف تطبيق مخصص منشط على FMC هنا. تحقق من مطابقة المحتويات لملف LUA الذي تم تحميله.

2. المشكلة: يحتوي ملف مكتشف LUA الذي تم تحميله على أخطاء.

           الملف المطلوب التحقق منه:  /var/log/messages on FTD

           سجل الأخطاء:

Dec 18 14:17:49 intel-x86-64 SF-IMS[15741]: Error - appid: can not set env of Lua detector /ngfw/var/sf/appid/custom/lua/6698fbd6-7ede-11ed-972c-d12bade65dc9 : ...sf/appid/custom/lua/6698fbd6-7ede-11ed-972c-d12bade65dc9:37: attempt to index global 'gDetector' (a nil value)

خطوات أستكشاف الأخطاء وإصلاحها

المشكلة: التطبيقات التي لم يتم التعرف عليها بشكل صحيح لحركة المرور التي تنتقل إلى عنوان IP والمنفذ المعرف من قبل المستخدم.

خطوات أستكشاف الأخطاء وإصلاحها:

• تحقق من تحديد مكتشف LUA وتنشيطه بشكل صحيح على FTD.
  • تحقق من محتويات ملف LUA على FTD وتحقق من عدم ظهور أخطاء على التنشيط.
• فحصت الغاية ip، ميناء وبروتوكول من أول ربط في الحركة مرور جلسة.
  • يمكن أن تطابق القيم المعرفة في مكتشف العدسة.
• تحقق من تصحيح أخطاء دعم النظام-application-identification-debug.
  • ابحث عن السطر Host cache match found on first packet. إذا كان هذا السطر مفقودا، فإنه يشير إلى عدم العثور على تطابق بواسطة واجهة برمجة التطبيقات (API).

تفاصيل القيود والمشاكل الشائعة والحلول البديلة

في 7.4، لا توجد واجهة مستخدم لاستخدام واجهة برمجة التطبيقات. ستتم إضافة دعم واجهة المستخدم في الإصدارات المستقبلية.

محفوظات المراجعة