Configuración de AppID Early Packet Detection en Secure Firewall Threat Defence 7.4

> curl https://www.example.com/
curl: (35) OpenSSL SSL_connect: SSL_ERROR_SYSCALL in connection to www.example.com:443 

> curl https://192.0.2.1/
curl: (7) Failed to connect to 192.0.2.1 port 443: Connection refused

Firewall Management Center (Tutorial)

Pasos para crear un detector personalizado mediante la API

Cree un nuevo detector personalizado en el FMC a partir de:

• Policies > Application Detectors > Create Custom Detector .

• Definir nombre y descripción.
  • Seleccione la aplicación en el menú desplegable.
  • Seleccione Tipo de detector avanzado.

• Cargue el archivo Lua en Criterios de detección. Guarde y active el detector.

Volver a inspeccionar las v/s habilitadas desactivadas

• Los dos eventos muestran el inicio de la conexión v/s el final de la conexión cuando se habilita la nueva inspección.

Nota: Aspectos a destacar:

1. Los "equipos HTTPS, Webex y Webex" se identifican mediante la API al principio de la conexión. Dado que la reinspección es verdadera, el descubrimiento de aplicaciones continúa y los ID de aplicaciones se actualizan a ‘HTTPS, SSL Client y Gyazo Teams’.

2. Observe el número de paquetes de iniciador y de respuesta. Los métodos de detección de aplicaciones regulares requieren muchos más paquetes que la API.

Resolución de problemas/Diagnóstico

Descripción general del diagnóstico

• Se agregan nuevos registros en la depuración de identificación de aplicaciones de soporte del sistema para indicar si la API de detección de primer paquete encuentra alguna aplicación.
• Los registros también muestran si el usuario eligió volver a inspeccionar el tráfico.
• El contenido del archivo del detector de lua cargado por el usuario se puede encontrar en el FTD en /var/sf/appid/custom/lua/<UUID> .
• Cualquier error en el archivo lua se vuelca en el FTD en el archivo /var/log/messages en el momento de activar el detector.

CLI: compatibilidad del sistema application-identification-debug

192.0.2.1 443 -> 192.168.1.16 51251 6 AS=4 ID=0 New AppId session
192.0.2.1 443 -> 192.168.1.16 51251 6 AS=4 ID=0 Host cache match found on first packet, service: HTTPS(1122), client: AOL(1419), payload: AOL(1419), reinspect: False
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 app event with client changed, service changed, payload changed, referred no change, misc no change, url no change, tls host no change, bits 0x1D
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 New firewall session
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 Starting with minimum 2, 'New-Rule-#1-MONITOR', and SrcZone first with zones 1 -> 1, geo 0(xff 0) -> 0, vlan 0, src sgt: 0, src sgt type: unknown, dst sgt: 0, dst sgt type: unknown, svc 1122, payload 1419, client 1419, misc 0, user 9999997, no url or host, no xff
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 match rule order 2, 'New-Rule-#1-MONITOR', action Audit
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 match rule order 3, 'New-Rule-#2-BLOCK_RESET', action Reset
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 MidRecovery data sent for rule id: 268437504, rule_action:5, rev id:3558448739, rule_match flag:0x1
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 Generating an SOF event with rule_id = 268437504 ruleAction = 5 ruleReason = 0
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 reset action

Ubicación del contenido de los detectores Lua de AppID

Para confirmar si el detector Lua con esta nueva API existe en el dispositivo/FTD, puede ver si la API addHostFirstPktApp se está utilizando en las 2 carpetas de detector de aplicaciones:

1. Detectores VDB AppID -/var/sf/appid/odp/lua

2. Detectores personalizados -/var/sf/appid/custom/lua

Por ejemplo:grep addHostFirstPktApp *  en cada carpeta.


Problemas de muestra:

1. Problema: el detector Lua personalizado no está activado en el FMC.

           Ubicación para comprobar:  /var/sf/appid/custom/lua/

           Resultado esperado: debe existir un archivo por cada detector de aplicaciones personalizado activado en el FMC. Verifique que el contenido coincida con el archivo lua cargado.

2. Problema: el archivo del detector de lua cargado tiene errores.

           Archivo para comprobar:  /var/log/messages on FTD

           Registro de errores:

Dec 18 14:17:49 intel-x86-64 SF-IMS[15741]: Error - appid: can not set env of Lua detector /ngfw/var/sf/appid/custom/lua/6698fbd6-7ede-11ed-972c-d12bade65dc9 : ...sf/appid/custom/lua/6698fbd6-7ede-11ed-972c-d12bade65dc9:37: attempt to index global 'gDetector' (a nil value)

Pasos para la resolución de problemas

Problema: aplicaciones no identificadas correctamente para el tráfico que va a la dirección IP y al puerto definidos por el usuario.

Pasos para Solucionar Problemas:

• Verifique que el detector lua esté correctamente definido y activado en el FTD.
  • Verifique el contenido del archivo lua en el FTD y verifique que no se vean errores al activar.
• Verifique la IP de destino, el puerto y el protocolo del primer paquete en la sesión de tráfico.
  • Puede coincidir con los valores definidos en el detector lua.
• Verifique el system-support-application-identification-debug.
  • Busque la línea Host cache match found on first packet. Si falta, indica que la API no ha encontrado ninguna coincidencia.

Limitaciones, detalles, problemas comunes y soluciones

En la versión 7.4, no hay ninguna interfaz de usuario para utilizar la API. El soporte de IU se añadiría en futuras versiones.

Historial de revisión