Cisco Secure Endpoint Mac Connector 결함

커넥터의 시스템 확장이 실행 차단되었습니다.

Security and Privacy System Preferences(보안 및 개인정보 보호정책 기본 설정)를 열고 확장을 승인합니다.

또는 MDM(Mobile Device Management) 프로파일을 사용하여 시스템 확장을 원격으로 승인할 수 있습니다.

설치된 커넥터 소프트웨어가 손상되었습니다. Connector를 다시 설치합니다.

참고: Mac Connector 버전 1.14.0 이상을 실행하는 경우 컴퓨터를 다시 시작하여 이 오류의 일부 발생을 해결할 수 있습니다.

커넥터가 스캔을 위해 사용자 파일에 액세스할 수 없습니다. Security and Privacy System Preferences(보안 및 개인정보 보호 시스템 기본 설정)를 열고 AMP 서비스에 대한 전체 디스크 액세스 권한을 부여합니다.

1.14.0 이전 Mac Connector 버전의 경우 이 프로세스의 이름은 /opt/cisco/amp/ampdaemon입니다.

Mac Connector 버전 1.14.0 이상에서는 macOS 버전에 따라 다음 두 애플리케이션에 전체 디스크 액세스가 필요합니다.

• AMP for Endpoints Service(모든 macOS 버전에 필요)
• AMP Security Extension(macOS 10.15.5 이상에서 필요)

Mac Connector 버전 1.14.1 이상에서 다음 두 애플리케이션은 macOS 버전에 따라 전체 디스크 액세스를 요구합니다.

• AMP for Endpoints Service(모든 macOS 버전에 필요)
• AMP Security Extension(macOS 11 이상에서 필요)

자세한 내용은 이 기술 문서에서 확인할 수 있습니다. 

1.14.0 이전 버전의 Mac Connector나 macOS 10.14 또는 10.15에서 실행 중인 경우 이 결함은 Connector의 시스템 확장이 올바른 버전이며 실행을 위해 승인되었지만 여전히 로드하지 못했음을 나타냅니다. 자세한 내용은 /Library/Logs/Cisco/ampdaemon.log를 참조하십시오. Connector를 제거하고 다시 설치하는 경우에도 이 결함이 해결될 수 있습니다.

커넥터에서 파일 스캔 프로세스를 실행할 사용자를 만들지 못했습니다. Connector는 루트 사용자를 사용하여 파일 스캔을 수행하여 이 문제를 해결합니다. 이는 의도한 설계에서 벗어나 예상하지 못한 것이다.

cisco-amp-scan-svc 사용자 또는 그룹이 삭제되었거나 사용자 및 그룹의 컨피그레이션이 변경된 경우 커넥터를 다시 설치하면 필요한 컨피그레이션으로 사용자 및 그룹이 다시 생성됩니다. 자세한 내용은 /Library/Logs/Cisco/ampdaemon.log을 참조하십시오.

커넥터의 파일 검사 프로세스에서 오류가 반복되어 오류를 지우려고 커넥터가 다시 시작되었습니다. 시스템에 있는 하나 이상의 파일이 스캔 시 스캔 알고리즘이 충돌할 수 있습니다. 커넥터는 최선형(best-effort) 기준으로 스캔을 계속합니다.

Connector가 시작된 후 10분 이내에 이 결함이 자동으로 제거되지 않을 경우, 이는 사용자 개입이 추가로 필요함을 나타내며 Connector의 스캔 수행 능력이 저하됨을 나타냅니다.

자세한 내용은 /Library/Logs/Cisco/ampdaemon.log 및 /Library/Logs/Cisco/ampscansvc.log을 참조하십시오.

커넥터의 파일 스캔 프로세스를 시작하지 못했으며 오류를 지우기 위해 커넥터가 다시 시작되었습니다. 이 결함이 제기되는 동안 파일 스캔 기능을 사용할 수 없습니다.

이 실패는 새로 설치된 바이러스 정의 파일(.cvd 파일)을 로드할 때 오류가 발생한 경우 트리거될 수 있습니다. 커넥터는 이 오류를 방지하기 위해 새 .cvd 파일을 활성화하기 전에 여러 무결성 및 안정성 검사를 수행합니다. 다시 시작하면 커넥터가 다시 시작할 수 있도록 잘못된 .cvd 파일이 제거됩니다.

Connector를 다시 시작할 때 이 결함이 제거되지 않은 경우, 이는 사용자의 추가 개입이 필요함을 나타냅니다. 이 오류가 각 .cvd 업데이트와 함께 반복되면 잘못된 .cvd 파일이 커넥터의 .cvd 파일 무결성 검사에서 제대로 탐지되지 않음을 나타냅니다.

자세한 내용은 /Library/Logs/Cisco/ampdaemon.log 및 /Library/Logs/Cisco/ampscansvc.log을 참조하십시오.

시스템을 재부팅합니다.

Mac Connector 버전 1.11.1 및 1.14.0의 경우 시스템 확장을 로드할 수 없는 경우 이 결함이 제기될 수 있습니다. 이 경우 Connector를 다시 설치하여 이 결함을 제거할 수 있습니다.

시스템에 설치된 네트워크 콘텐츠 필터 시스템 확장이 너무 많은 경우 Mac Connector 1.14.1 이상에서 이 결함이 발생할 수 있습니다. 컴퓨터를 재부팅해도 이 결함이 제거되지 않는 경우, 자세한 내용은 아래의 결함 13 지침을 참조하십시오.

네트워크 필터는 정책의 'Enable Device Flow Correlation' 기능에 필요합니다. 이 오류를 해결하려면 'AMP for Endpoints Service'가 엔드포인트의 네트워크 콘텐츠를 필터링하도록 허용합니다.

Agent(에이전트) 메뉴릿에 나열된 활성 결함을 클릭하고 제공된 지침에 따라 네트워크 필터에 액세스할 수 있도록 허용하는 macOS 대화 상자를 사용합니다.

네트워크 필터의 원격 권한 부여를 위한 MDM 프로필 설정을 비롯한 추가 세부 정보는 이 기술 문서에서 확인할 수 있습니다.

Mac Connector 1.14.0의 경우 이 결함은 네트워크 콘텐츠 필터 시스템 확장을 시작할 때 macOS 버그로 인해 자주 제기됩니다. 컴퓨터를 재부팅하면 이 결함이 지워집니다.

정책의 'Enable Device Flow Correlation(디바이스 흐름 상관관계 활성화)' 기능을 사용하려면 방화벽 등급 macOS 네트워크 콘텐츠 필터를 사용해야 합니다. MacOS는 실행할 수 있는 네트워크 콘텐츠 필터의 수를 제한합니다.

이 결함이 제기되고 컴퓨터를 재부팅해도 제거되지 않는 경우, 더 이상 필요하지 않은 방화벽 등급 네트워크 콘텐츠 필터를 제거하고 Connector를 다시 시작하십시오.

MacOS는 실행 가능한 엔드포인트 보안 시스템 확장 수를 제한합니다. Mac Connector에는 정책에서 '파일 복사 및 이동 모니터링' 및 '프로세스 실행 모니터링' 기능을 위한 이러한 엔드포인트 보안 시스템 확장 프로그램 중 하나가 필요합니다.

이 결함을 제거하려면 더 이상 필요하지 않은 Endpoint Security 시스템 확장을 제거하고 Connector를 다시 시작하십시오.

Mac Connector의 macOS System Extensions는 스캔을 위해 사용자 파일에 액세스할 수 없습니다. Security & Privacy System Preferences(보안 및 개인정보 보호 시스템 기본 설정)를 열고 AMP Security Extension에 대한 전체 디스크 액세스 권한을 부여합니다.

시스템 확장이 포함된 전체 디스크 액세스에 대한 원격 권한 부여를 위한 MDM 프로필 설정을 비롯한 추가 세부 정보는 이 기술 노트에서 확인할 수 있습니다.

macOS 11.0.0의 버그로 인해 전체 디스크 액세스 설정이 부여된 후 재부팅 시 자동으로 지워질 수 있습니다. 이 버그는 macOS 11.0.1에서 수정되었습니다.

오비탈은 쿼리를 위해 보호된 파일 및 디렉토리에 액세스하기 위해 전체 디스크 액세스가 필요합니다. Security & Privacy System Preferences를 열고 Cisco Orbital에 대한 전체 디스크 액세스 권한을 부여합니다.

이 결함은 시스템 이벤트의 수가 너무 많아 커넥터의 부하가 높을 때 제기됩니다. 시스템 보호가 제한되어 있으며, 전체 시스템 활동이 줄어들 때까지 커넥터는 소규모 시스템 중요 이벤트를 모니터링합니다.

이 결함은 악의적인 시스템 활동을 나타내거나 시스템에서 매우 활성화된 애플리케이션을 나타낼 수 있습니다.

활성 애플리케이션이 사용자가 신뢰하는 안전한 경우, 커넥터의 모니터링 부하를 줄이기 위해 프로세스 제외 세트에 추가할 수 있습니다. 이 작업은 결함을 제거하는 데 충분할 수 있습니다.

무해한 프로세스로 인해 부하가 많이 발생하지 않는 경우, 일부 조사를 통해 악의적인 프로세스로 인해 활동이 증가했는지 확인해야 합니다.

커넥터가 과부하 상태에서 단기간에 있는 경우 이 결함이 스스로 제거될 수 있습니다.

이 결함이 자주 제기되고 로드가 과중한 정상적인 프로세스가 없으며 악의적인 프로세스가 검색되지 않은 경우, 무거운 로드를 처리하기 위해 시스템을 다시 프로비저닝해야 합니다.