Cisco Secure Endpoint Macコネクタの障害

コネクタのシステム拡張の実行がブロックされました。

セキュリティとプライバシーシステムの環境設定を開き、内線番号を承認します。

または、Mobile Device Management(MDM)プロファイルを使用して、リモートでシステムの内線番号(DN)を承認することもできます。

インストールされているコネクタソフトウェアが破損しています。コネクタを再インストールします。

注：Mac Connectorバージョン1.14.0以降を実行している場合、このエラーの発生の一部は、コンピュータを再起動することで解消される場合があります。

コネクタはスキャン用のユーザーファイルにアクセスできません。セキュリティおよびプライバシーシステム設定を開き、AMPサービスへのフルディスクアクセスを許可します。

1.14.0より前のバージョンのMac Connectorでは、このプロセスは/opt/cisco/amp/ampdaemonという名前になります。

Mac Connectorバージョン1.14.0以降では、macOSのバージョンに応じて、次の2つのアプリケーションでフルディスクアクセスが必要になります。

• AMP for Endpointsサービス（すべてのmacOSバージョンに必要）
• AMPセキュリティ拡張（macOS 10.15.5以降で必要）

Mac Connectorバージョン1.14.1以降では、macOSのバージョンに応じて、次の2つのアプリケーションでフルディスクアクセスが必要になります。

• AMP for Endpointsサービス（すべてのmacOSバージョンに必要）
• AMPセキュリティ拡張（macOS 11以降で必要）

詳細については、このテクニカルノートを参照してください。 

1.14.0より前のバージョンのMac Connectorの場合、またはmacOS 10.14または10.15で実行している場合、このエラーは、Connectorのシステム拡張が正しいバージョンであり、実行が承認されているが、まだロードできないことを示します。詳細は/Library/Logs/Cisco/ampdaemon.logを参照してください。コネクタをアンインストールして再インストールすると、このエラーが解消される場合があります。

コネクタはファイルスキャンプロセスを実行するユーザーを作成できませんでした。コネクタは、rootユーザを使用してファイルスキャンを実行することにより、この問題を回避します。これは意図した設計から逸脱しており、予期されていません。

cisco-amp-scan-svcユーザまたはグループが削除されている場合、またはユーザとグループの設定が変更されている場合は、コネクタを再インストールすると、必要な設定でユーザとグループが再作成されます。詳細については、/Library/Logs/Cisco/ampdaemon.logを参照してください。

コネクタのファイルスキャンプロセスで繰り返しエラーが発生し、エラーをクリアするためにコネクタが再起動されました。システム上の1つ以上のファイルが原因で、スキャン時にスキャンアルゴリズムがクラッシュする可能性があります。コネクタはベストエフォート方式でスキャンを続行します。

コネクタの起動後10分以内にこのエラーが自動的にクリアされない場合は、さらにユーザーの介入が必要であり、コネクタのスキャン機能が低下します。

詳細は/Library/Logs/Cisco/ampdaemon.logと/Library/Logs/Cisco/ampscansvc.logを参照してください。

コネクタのファイルスキャンプロセスの開始に失敗し、エラーをクリアするためにコネクタが再起動されました。このエラーが発生している間、ファイルスキャン機能は無効になります。

この障害は、新しくインストールされたウイルス定義ファイル（.cvdファイル）のロード時にエラーが発生した場合にトリガーされる可能性があります。コネクタは、新しい.cvdファイルをアクティブ化する前に、整合性と安定性に関するチェックを数多く実行して、この障害を回避します。再起動時に、コネクタは無効な.cvdファイルを削除し、コネクタを再開できるようにします。

コネクタの再起動時にこのエラーがクリアされない場合は、さらにユーザの介入が必要であることを示します。この障害が各.cvdアップデートで繰り返される場合、無効な.cvdファイルがコネクタの.cvdファイル整合性チェックによって適切に検出されていないことを示しています。

詳細は/Library/Logs/Cisco/ampdaemon.logと/Library/Logs/Cisco/ampscansvc.logを参照してください。

システムをリブートします。

Mac Connectorバージョン1.11.1および1.14.0では、システム拡張がロードできない場合、このエラーが発生する可能性があります。この場合、コネクタを取り付け直すことで、この障害を解消できます。

Mac Connector 1.14.1以降では、システムにインストールされているNetwork Content Filter（NPF；ネットワークコンテンツフィルタ）システムの拡張機能が多すぎる場合にこのエラーが発生する可能性があることに注意してください。コンピュータを再起動しても障害が解消されない場合の詳細については、次の障害13のガイダンスを参照してください。

ネットワークフィルタは、ポリシーの[デバイスフローの関連付けを有効にする]機能に必要です。このエラーをクリアするには、「AMP for Endpoints Service」でエンドポイントのネットワークコンテンツをフィルタリングできるようにします。

Network Filterを許可するmacOSダイアログにアクセスするには、Agentのメニューに表示されているアクティブな障害をクリックし、表示されるガイダンスに従います。

ネットワークフィルタのリモート認証用のMDMプロファイル設定などの詳細については、このテクニカルノートを参照してください。

Mac Connector 1.14.0の場合、ネットワークコンテンツフィルタシステム(NCS)拡張の開始時にmacOSのバグが原因でこのエラーが頻繁に発生します。コンピュータを再起動すると、このエラーは解消されます。

ポリシーの「デバイスフロー相関を有効にする」機能では、ファイアウォールグレードのmacOSネットワークコンテンツフィルタを使用する必要があります。MacOSでは、実行できるネットワークコンテンツフィルタの数が制限されます。

このエラーが発生し、コンピュータを再起動してもクリアされない場合、不要になったファイアウォール級ネットワークコンテンツフィルタをアンインストールし、コネクタを再起動します。

MacOSでは、実行できるエンドポイントセキュリティシステム拡張機能の数が制限されます。Macコネクタには、ポリシーの「Monitor File Copies and Moves」機能および「Monitor Process Execution」機能に対して、次のエンドポイントセキュリティシステム拡張のいずれかが必要です。

このエラーを解消するには、不要になったEndpoint Securityシステム拡張機能をアンインストールし、コネクタを再起動します。

MacコネクタのmacOSシステム拡張機能は、スキャン用のユーザファイルにアクセスできません。セキュリティとプライバシーシステム設定を開き、AMPセキュリティ拡張へのフルディスクアクセスを許可します。

システム拡張機能を使用したフルディスクアクセスのリモート認証のためのMDMプロファイル設定など、その他の詳細については、このテクニカルノートを参照してください。

macOS 11.0.0のバグにより、付与された後のリブート時にフルディスクアクセス設定が自動的にクリアされる場合があることに注意してください。 このバグは、macOS 11.0.1で修正されています。

Orbitalでは、保護されたファイルやディレクトリにアクセスしてクエリを実行するために、ディスクへのフルアクセスが必要です。セキュリティとプライバシーシステムの設定を開き、Cisco Orbitalへのフルディスクアクセスを許可します。

このエラーは、多数のシステムイベントが原因でコネクタに大きな負荷がかかっているときに発生します。システム保護は制限されており、システム全体のアクティビティが低下するまで、コネクタは比較的小さなシステムクリティカルイベントのセットを監視します。

このエラーは、悪意のあるシステムアクティビティまたはシステム上の非常にアクティブなアプリケーションを示している可能性があります。

アクティブなアプリケーションが良性で、ユーザーによって信頼されている場合、そのアプリケーションをプロセス除外セットに追加して、コネクタの監視負荷を軽減できます。このアクションで十分に障害が解消される場合があります。

良性のプロセスが大きな負荷を引き起こさない場合は、アクティビティの増加が悪意のあるプロセスによるものかどうかを判断するために何らかの調査が必要になります。

コネクタに短期間の高負荷が発生した場合は、この障害が自然に解消される可能性があります。

このエラーが頻繁に発生し、高負荷を引き起こす無害なプロセスがなく、悪意のあるプロセスが検出されない場合は、システムを再プロビジョニングして、高負荷を処理する必要があります。