Configuration de la détection précoce des paquets AppID dans Secure Firewall Threat Defense 7.4

> curl https://www.example.com/
curl: (35) OpenSSL SSL_connect: SSL_ERROR_SYSCALL in connection to www.example.com:443 

> curl https://192.0.2.1/
curl: (7) Failed to connect to 192.0.2.1 port 443: Connection refused

Procédure pas à pas de Firewall Management Center

Étapes de création d'un détecteur personnalisé avec l'API

Créez un nouveau détecteur personnalisé sur le FMC à partir de :

• Policies > Application Detectors > Create Custom Detector .

• Définissez le nom et la description.
  • Sélectionnez l'application dans le menu déroulant.
  • Sélectionnez Type de détecteur avancé.

• Téléchargez le fichier Lua sous Critères de détection. Enregistrez et activez le détecteur.

Réinspecter les v/s activés désactivés

• Les deux événements indiquent le début de la connexion par rapport à la fin de la connexion lorsque la réinspection est activée.

Remarque : éléments à noter :

1. Les « équipes HTTPS, Webex et Webex » sont identifiées par l’API au début de la connexion. Comme la réinspection est vraie, la découverte des applications se poursuit et les identifiants des applications sont mis à jour en « HTTPS, SSL Client et Gyazo Teams ».

2. Notez le nombre de paquets initiateur et répondeur. Les méthodes de détection d'applications régulières nécessitent beaucoup plus de paquets que l'API.

Dépannage/Diagnostics

Présentation des diagnostics

• De nouveaux journaux sont ajoutés dans le débogage d'identification d'application de prise en charge du système pour indiquer si des applications sont trouvées par la 1ère API de détection de paquet.
• Les journaux indiquent également si l'utilisateur a choisi de réinspecter le trafic.
• Le contenu du fichier du détecteur de lua téléchargé par l'utilisateur se trouve sur le FTD sous /var/sf/appid/custom/lua/<UUID> .
• Toutes les erreurs du fichier lua sont enregistrées dans le fichier FTD du fichier /var/log/messages au moment de l'activation du détecteur.

CLI : prise en charge du système application-identification-debug

192.0.2.1 443 -> 192.168.1.16 51251 6 AS=4 ID=0 New AppId session
192.0.2.1 443 -> 192.168.1.16 51251 6 AS=4 ID=0 Host cache match found on first packet, service: HTTPS(1122), client: AOL(1419), payload: AOL(1419), reinspect: False
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 app event with client changed, service changed, payload changed, referred no change, misc no change, url no change, tls host no change, bits 0x1D
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 New firewall session
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 Starting with minimum 2, 'New-Rule-#1-MONITOR', and SrcZone first with zones 1 -> 1, geo 0(xff 0) -> 0, vlan 0, src sgt: 0, src sgt type: unknown, dst sgt: 0, dst sgt type: unknown, svc 1122, payload 1419, client 1419, misc 0, user 9999997, no url or host, no xff
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 match rule order 2, 'New-Rule-#1-MONITOR', action Audit
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 match rule order 3, 'New-Rule-#2-BLOCK_RESET', action Reset
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 MidRecovery data sent for rule id: 268437504, rule_action:5, rev id:3558448739, rule_match flag:0x1
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 Generating an SOF event with rule_id = 268437504 ruleAction = 5 ruleReason = 0
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 reset action

Localisation du contenu des détecteurs AppID Lua

Pour vérifier si le détecteur Lua avec cette nouvelle API existe sur le périphérique/FTD, vous pouvez vérifier si l'API addHostFirstPktApp est utilisée dans les 2 dossiers de détecteur d'application :

1. Détecteurs AppID VDB -/var/sf/appid/odp/lua

2. Détecteurs personnalisés -/var/sf/appid/custom/lua

Par exemple :grep addHostFirstPktApp *  dans chaque dossier.


Exemples de problèmes :

1. Problème : Le détecteur de Lua personnalisé n'est pas activé sur FMC.

           Emplacement à vérifier :  /var/sf/appid/custom/lua/

           Résultat attendu : Un fichier pour chaque détecteur d'application personnalisé activé sur le FMC doit exister ici. Vérifiez que le contenu correspond au fichier lua téléchargé.

2. Problème : le fichier du détecteur de lua téléchargé comporte des erreurs.

           Fichier à vérifier :  /var/log/messages on FTD

           Journal des erreurs :

Dec 18 14:17:49 intel-x86-64 SF-IMS[15741]: Error - appid: can not set env of Lua detector /ngfw/var/sf/appid/custom/lua/6698fbd6-7ede-11ed-972c-d12bade65dc9 : ...sf/appid/custom/lua/6698fbd6-7ede-11ed-972c-d12bade65dc9:37: attempt to index global 'gDetector' (a nil value)

Étapes de dépannage

Problème : les applications ne sont pas correctement identifiées pour le trafic acheminé vers l'adresse IP et le port définis par l'utilisateur.

Étapes de dépannage :

• Vérifiez que le détecteur de lua est correctement défini et activé sur le FTD.
  • Vérifiez le contenu du fichier lua sur le FTD et assurez-vous qu'aucune erreur ne s'affiche lors de l'activation.
• Vérifiez l'adresse IP de destination, le port et le protocole du premier paquet de la session de trafic.
  • Il peut correspondre aux valeurs définies dans le détecteur de lua.
• Vérifiez la commande system-support-application-identification-debug.
  • Recherchez la ligne Host cache match found on first packet. Si elle est manquante, cela indique qu'aucune correspondance n'a été trouvée par l'API.

Détails des limitations, problèmes courants et solutions de contournement

Dans la version 7.4, il n'y a pas d'interface utilisateur pour utiliser l'API. La prise en charge de l'interface utilisateur sera ajoutée dans les versions futures.

Historique de révision