Inhoud

Inleiding

IDS 4.0

IPS 450 en hoger

Gerelateerde informatie

Inleiding

Dit document beantwoordt de meest frequent gestelde vragen (FAQ’s) die betrekking hebben op Cisco Secure Inbraakdetectiesysteem (IDS) 4.0, Advanced Inspection and Prevention Security Services Module (AIP SSM) en Cisco Inbraakpreventiesysteem (IPS) 5.0 en hoger.

Raadpleeg Cisco Technical Tips Conventions (Conventies voor technische tips van Cisco) voor meer informatie over documentconventies.

IDS 4.0

Q. Ik heb IDS MC en SecMon op een nieuwe server geïnstalleerd en nu wil ik alle configuraties (gebruiker, apparaat, enzovoort) van de oude server naar de nieuwe importeren. Hoe doe ik dit?

A. De makkelijkste manier om dit uit te voeren is om je nieuwe VMS server op te halen en dan de sensoren te ontdekken met dit nieuwe vak.

N.B.: Voeg de sensor niet handmatig toe. Controleer het vakje instellingen zoeken.

Als de sensor is ontdekt, importeren ze die naar SecMon. Alle configuraties worden opgeslagen op de sensor. De signatuur instellingen, filters, enzovoort moeten overkomen nadat je je nieuwe server bouwt. Zorg ervoor dat u IDS MC in de laatste handtekeningen bijwerkt.

Q. IDS-4215 ontvangt de idPackageMgr: ongeldige argument-foutmelding tijdens het proberen de IDS-herstelindeling te verbeteren. Wat moet ik doen om dit probleem op te lossen?

A. Dit is een fabricageprobleem. Sommige klanten ontvingen IDS-4215s met een slecht basisbeeld (4.0). Volg deze stappen.

1. Download het herstelverdelingsbeeld (alleen geregistreerde klanten).

2. Pas de upgrade van de herstelverdelingsafbeelding toe via CLI:
sensor#configure terminal

sensor(config)#upgrade METHOD://USERNAME@SERVER/PATH/

IDS-4215-K9-r-1.1-a-4.1-1-S47.tar.pkg

3. Zodra het herstelverdelingsbeeld is toegepast, wordt de 4215 hersteld naar een normale actieve 4.1(1) 4215-basis.
sensor(config)#recover application-partition

Q. Wanneer ik opwerk van een pakket met 2 cijfers tot 3 cijfers, zoals S100 of later, bijvoorbeeld 4.1(4)S99 tot 4.1(4)S100, is de automatische update functionaliteit mislukt. Hoe los ik dit op?

Opmerking: Cisco VMS en CLI-klanten ondervinden deze kwestie niet.

De oorzaak van het probleem is de sorteerlogica die wordt gebruikt wanneer de bestandsnaam wordt geparsed. Het is een alfanumerieke soort wanneer het numeriek zou moeten zijn. De tijdelijke oplossing is om CLI (of VMS) te gebruiken om pakketten met drie cijfers, zoals S100 of hoger, te upgraden. Nadat dit is voltooid, wordt de automatische update weer ingeschakeld. Raadpleeg Cisco bug-ID CSCef07999 (alleen geregistreerde klanten) voor meer informatie.

Q. Wat doet de "Manipulatie-fout van het verificatietoken"? foutmelding?

A. Om deze kwestie op te lossen, gebruik tweemaal het defaultwachtwoord (cisco) en verander dan het wachtwoord van de configuratiewijze. De IDS moet het defaultwachtwoord twee keer worden ingevoerd.

Bijvoorbeeld:

login:cisco

Password:cisco

Enter current password:cisco

Enter new password: ***

Re-enter new password: ***

Vraag. Hoe verwijder ik IDSM van Switch?

A. De module mag alleen worden verwijderd nadat u de stroom hebt uitgeschakeld. Voer de volgende stappen uit:

1. Geef vanuit de sensor CLI de opdracht resetten uit.

2. Zodra de sensor shutdown, van de switch CLI voltooit, geef of de opdracht Geen machtigingsmodule (module_number) voor Cisco IOS of de ingestelde module uitzet (module_number) opdracht voor CatOS.

3. Druk op de sluitknop op het mes.

4. Stel het chassis fysiek uit. Wanneer het statuslicht een langer groen weergeeft, kunt u de module veilig verwijderen.

IPS 450 en hoger

Q. Ik heb een schaduwsysteem ingesteld maar ik ben verbijsterd over hoe ik het blokkeren van de handtekeningen moet configureren. Wat is het verschil tussen blokhost en blokverbinding?

A. Blokhost blokkeert alle pakketten van dat bronadres. Blokverbinding blokkeert alleen de één verbinding die is gebaseerd op bron en bestemming IP/poort. De PIX werkt op een iets andere manier. Voor automatische shuns, stuurt de Sensor de bron IP, bestemming IP, bronpoort en doelpoort. De PIX blokkeert alle pakketten die uit dat IP adres afkomstig zijn. De extra informatie wordt door PIX gebruikt om die verbinding uit zijn verbindingstabellen te verwijderen. Als de verbinding niet uit de verbindingstabel is verwijderd, is het theoretisch mogelijk dat als de slang kort nadat deze is toegepast wordt verwijderd, de oorspronkelijke verbinding dan nog niet is uitgezet. Dit staat de aanvaller toe om de aanval op de originele verbinding voort te zetten. Verwijdering van de verbinding uit de tabel zorgt ervoor dat de oorspronkelijke verbinding niet kan worden gebruikt om de aanval voort te zetten nadat de slang is verwijderd. De sensor kan geen enkele verbinding op de PIX afleiden omdat de PIX het gebruik van de shun opdracht niet ondersteunt om één verbinding te blokkeren. De PIX shun opdracht geeft altijd het bronadres weer, ongeacht of de extra verbindingsinformatie al dan niet wordt verstrekt.

Q. Wat doet de "fout: Kon de netwerkservices niet opnieuw starten. Fatale fout is opgetreden. Knooppunt MOET worden herstart om alarmerend te veroorzaken." foutmelding?

A. Deze fout betekent dat uw standaardgateway niet correct is of een generisch foutbericht dat betekent dat of de IP, netmask of standaardgateway onjuist zijn. Het dodelijke gedeelte van het bericht betekent dat na de eerste storing de vorige configuratie was toegepast en ook mislukt. De Sensor geeft iffig en route opdrachten uit en een of beide mislukt.

Q. Automation faalt bij de "mainApp[343] Cid/E errSystemError http error response:500". foutmelding. Wat betekent deze foutmelding?

A. Dit probleem kan de automatische update optie zijn, die niet werkt, omdat deze op een even uur tijd is ingesteld om te downloaden. Probeer de automatische update op een willekeurige tijd in te stellen; zelfs een kleine offset van acht of een nachtelijke minuut kan dit probleem oplossen .

In het algemeen wordt de kwestie opgelost en fout: http error response: De foutmelding 500 wordt weergegeven als u de herkenningstijd in een niet-uursgrens verandert.

Opmerking: IPS mislukt de automatische update van handtekeningen en keert terug met deze foutmelding:

Uitzondering voor AutoUpdate: HTTP-verbinding mislukt [1.110] naam=errSystemError

Controleer deze items om dit probleem op te lossen:

- Controleer of een firewall verhindert dat de sensor Cisco.com bereikt.

- Controleer of de routing een probleem is.

- Controleer of NATing op de juiste manier op het gateway-apparaat voor het downstreamapparaat is ingesteld.

- Controleer of de gebruikersreferenties correct zijn.

- Verander de update begintijd in oneven uren.

Q. Wat doet de "fout: Exec-upgrade-software: Analysis Engine is momenteel bezig en kan deze update niet verwerken. Een paar minuten wachten voordat u de update opnieuw probeert.". foutmelding betekent:?

A. Probeer om dit probleem op te lossen de sensor opnieuw te laden of om de sensor te vervangen.

Q. Hoe pak ik de foutmelding Cid/W op - DNS of HTTP-proxy is vereist voor wereldwijde correlatie-inspectie en reputatieserving, maar er zijn geen DNS- of proxy-servers gedefinieerd.Voeg een HTTP-proxy server of DNS-server toe in de serviceconfiguratie 'host'?

A. Voltooi deze taken om dit probleem op te lossen:

- Schakel globale correlatie uit.

- Voeg de proxy/dns configuratie toe.

Q. Hoe los ik deze fouten op die IPS ontvangt voor mondiale correlatie gezondheidsproblemen: "23Jan2010 15:50:39.831 38.001 collaborationApp[655] rep/E A global correlatie update not: Opent geen TLS-verbinding naar HTTP-server op X.X.82.127:443: TLS-verbinding mislukt" en "collaborationApp[459] rep/E A global correlatie update faalde: Downloaden van ibrs/1.1/drop/default/1296529950 is mislukt: URI bevat geen geldig ip-adres"?

A. IPS is niet in staat om via internet te komen door een poortprobleem, bijvoorbeeld een firewall in een pad dat niet de juiste poorten heeft die open zijn voor internettoegang of dat een NAT-probleem kan zijn.

Om de mondiale correlatie volledig te laten functioneren, neemt de sensor eerst contact op met https update-manifest-manifests.ironport.com om de gebruiker te authentiseren en dan een HTTP verbinding om GC updates te downloaden. De bestanden die de sensor downloads van de HTTP (updates.ironport.com) heeft, zijn de reputatiegegevens die de wereldwijde correlatie gebruikt. Het https update-manifest-manifests.ironport.com moet altijd een oplossing vinden voor het X.X.82.127-adres, maar het IP-adres van http updates.ironport.com kan veranderen, wat afhankelijk is van het internet dat u benadert. Controleer dus het IP-adres. Als URL-filtering is ingeschakeld, voegt u een uitzondering toe voor de IPS-beheerinterface in het URL-filter, zodat IPS op internet kan worden aangesloten.

Deze fout treedt op wanneer er corruptie is in een vorige GC-update:

collaborationApp[459] rep/e.a. wereldwijde correlatie update mislukt: Downloaden van ibrs/1.1/drop/default/1296529950 is mislukt: URI bevat geen geldig ip-adres

Dit probleem kan meestal worden opgelost door de GC-service uit te schakelen en dan weer in te schakelen. Kies in IDM Configuration > Policy > Global Correlatie > Inspection/Reputation, stel Global Correlatie-inspectie (en Reputation Filtering indien On) in op Off, pas de wijzigingen toe, wacht 10 minuten, schakel de functies in en controleer deze.

V. De globale correlatie-update is mislukt: openConnection: Opgevraagde IPAddressException badAddressString. Kan de Global Correlatie HTTP-proxy en DNS-instellingen niet gebruiken. Controleer de verbinding en probeer het nogmaals. De foutmelding wordt ontvangen in de categorie "storing in de reputatie". Hoe los ik deze kwestie op?

A. Controleer de volgende punten:

- U moet een geldige IPS-licentie hebben om wereldwijde correlatie-functies te kunnen functioneren.

- U moet een HTTP-proxy-server of een DNS-server hebben geconfigureerd om wereldwijde correlatie-functies te kunnen laten functioneren.

- Omdat er wereldwijde correlatie-updates plaatsvinden via de interface voor sensorbeheer, moeten firewalls TCP 443/80 en udp 53 verkeer mogelijk maken.

- Zorg ervoor dat je sensor de globale correlatie functies ondersteunt. Als u dit niet wilt, schakelt u de globale samenwerkingsoptie van IDM uit:

- Ga naar Configuration > Policy > Global Correlatie > Inspection/Reputation, en stel Global Correlatie Inspection (en Reputation Filtering indien Aan) in op Off.

Vraag: Hoe pak ik de "wereldwijde correlatie-update" op? openConnection: Waargenomen fout IPAddressException badAddrString die IPS ontvangt voor mondiaal correlatie gezondheidsprobleem?

A. Als u wereldwijde correlatie gebruikt (GC), zorg er dan voor dat de naamresolutie werkt, bijvoorbeeld, DNS is bereikbaar. Controleer ook of er een firewallgeblokkeerde poort 5.3 is. Anders kunt u de GC-functie uitschakelen als u dit bericht wilt verwijderen.

Q. Hoe los ik de Exception op wanneer ik de verbinding met MySQL foutmelding initialiseer die ik ontvangt wanneer ik IME van de browser start?

A. Dit probleem doet zich meestal voor wanneer de klant IME probeert te gebruiken op niet-ondersteunde besturingssystemen, zoals Windows 7.

V. Hoe los ik de "titel" op: IDM op 88-nsmc-c1 verkoper: Categorie Cisco Systems, Inc.: Start File Error JAR-bronnen in JNLP-bestand worden niet door hetzelfde certificaat getekend." of "Fout bij verbinding met sensor, mislukt om sensor x.x.x.x:443 bestaande idm" fout te maken die IDM ontvangt, wat gebeurt tijdens de start van de toepassing?

A. Schakel de browser cache uit om dit probleem op te lossen.

Q. Is de Asymmetric modus op IPS configureerbaar als u GUI gebruikt?

A. In versie 6.0 is Asymmetric mode op IPS-systemen die alleen met CLI kan worden ingesteld en niet op GUI beschikbaar is. In versie 6.1 is deze optie echter ook in GUI beschikbaar.

Hoe belos ik het latentieprobleem met de IPS-sensor?

A. Om dit probleem op te lossen, de asymmetrische modale verwerking mogelijk te maken, zodat de sensor de toestand kan synchroniseren met de stroom en de controle kan handhaven voor motoren die niet beide richtingen nodig hebben. Gebruik deze configuratie:

IPS_Sensor#configure terminal

IPS_Sensor(config)#service analysis-engine

IPS_Sensor(config-ana)#virtual-sensor vs0

IPS_Sensor(config-ana-vir)#inline-TCP-evasion-protection-mode asymmetric

Het latentieprobleem doet zich voor wanneer de ontkenningsactie online en ontkenningspakket voor elke handtekening in VS0 wordt geactiveerd. Het inschakelen van alle handtekeningen zal in latentie resulteren aangezien IPS elk pakje dat door komt inspecteert. Het is goed alleen de specifieke handtekening mogelijk te maken die vereist is volgens de verkeersstroom van het netwerk om het latentieprobleem op te lossen.

V. helpt AIP-SSM Skype te blokkeren?

A. De PIX/ASA kan het skype niet blokkeren. Skype heeft de mogelijkheid om dynamische poorten te onderhandelen en versleuteld verkeer te gebruiken. Met gecodeerd verkeer is het vrijwel onmogelijk om het te ontdekken aangezien er geen patronen te vinden zijn.

U kunt uiteindelijk een Cisco IPS (Inbraakpreventiesysteem)/AIP-SSM gebruiken. Het heeft een aantal handtekeningen die een Windows Skype-client kunnen detecteren die met de Skype-server verbonden is om de versie ervan te synchroniseren. Dit gebeurt meestal wanneer de client de verbinding start. Als de sensor de eerste Skype-verbinding pakt, kun je de persoon vinden die de service gebruikt en alle verbindingen blokkeren die geïnitieerd worden vanuit hun IP-adres.

Q. Waarom flap de zinsinterface of vaak in IPS naar beneden?

A. Tijdens het bijwerken van een handtekening en het opnieuw samenstellen, stopt SensorApp om pakketten te verwerken zoals het de nieuwe handtekeningen in de update verwerkt. De netwerkstuurprogramma detecteert dat sensorApp is gestopt en alle nieuwe pakketten van de buffer ontvangt. Het netwerkstuurprogramma doet dus verschillende dingen, die afhankelijk zijn van het configuratie- en sensormodel:

Promiscuous Interface-It brengt de link naar beneden op de interfaces, en brengt de link naar voren zodra de sensorApp weer begint te controleren.

Inline interface of inline VLAN-paneel - Het is afhankelijk van de instelling Bypass:

- Auto-passeren - het stuurprogramma houdt de link omhoog en begint pakketten door te geven zonder analyse. De machine keert dan terug naar het verzenden van de pakketten door sensorApp zodra de sensorApp weer begint te controleren.

- Uitschakelen-het stuurprogramma brengt de link naar beneden op de interfaces, dezelfde als in de veelbelovende modus, en brengt deze terug zodra de sensorApp weer begint te controleren.

Dus als de sensorapp geen pakketten van de buffer trekt, wat mogelijk gebeurt omdat er geen interface is ingesteld om pakketten te verwerken, dan kan de bestuurder de interface in een lagere toestand plaatsen.

Deze logs worden gezien wanneer de sensatieinterface knippert:

28Jun2011 09:03:09.483 6050.885 interface[409] Cid/W errWarning Inline

databypass has started.

28Jun2011 09:03:13.639 4.156 interface[409] Cid/W errWarning Inline databypass

has stopped.

28Jun2011 09:19:23.922 970.283 interface[409] Cid/W errWarning Inline databypass

has started.

28Jun2011 09:19:27.486 3.564 interface[409] Cid/W errWarning Inline databypass

has stopped.

Q. Houdt de IDS- of IPS-sensor (Inbraakpreventiesysteem) een wachtwoordgeschiedenis in?

A. Nee, de sensor heeft geen wachtwoordgeschiedenis. De wachtwoorden zijn op geen enkel moment zichtbaar.

Q. Ondersteunt de IPS-sensor (IDS of Inbraakpreventiesysteem) de systeemserver om logbestanden te verzenden?

A. Nee.

Q. Wat is de maximumgrens van het opslaan van gebeurtenissen in IPS?

A. De lokale gebeurtenis van de sensor slaat slechts 30 MB op en overschrijft zichzelf zodra de grens van 30 MB is bereikt. Deze limiet is niet aanpasbaar.

Vraag. Hoe schrijf ik een handtekening om foto[a-z]\.zip-bestand te detecteren in een inkomende of uitgaande e-mail?

A. Gebruik STRING.TCP om een handtekening te schrijven die de bijlage detecteert. Zoek iets gelijkaardigs:

Engine STRING.TCP

Enabled True

Severity informational

AlarmThrottle Summarize

CapturePacket False

Direction ToService

MinHits 1

Protocol =TCP

RegexString [Ff][Ii][Ll][Ee][Nn][Aa][Mm][Ee][=]["][Ff][Oo]

[Tt][Oo][a-zA-Z][.][Zz][Ii][Pp]["]

ResetAfterIdle 15

ServicePorts 25

StorageKey =STREAM

Q. Hoe stel je de FTP client-timeout in?

A. Opdracht geven:

configure terminal

service host

networkParams

ftpTimeout 300 <timeout is in seconds>

Q. Hoe converteert u de Begintijd en eindtijd in de invoerstatus naar een leesbare indeling?

A. Deze uitvoer is een decimale weergave van de huidige tijd sinds UNIX epoc. Gebruik een UNIX-epoc-calculator zoals deze op de UNIX Datum/Tijd Calculator . Voer de eerste 10 cijfers in omdat deze rekenmachine granulair is tot slechts seconden en de IDS nanoseconden opslaat. Dit betekent dat de laatste negen cijfers zijn verwijderd. Vanaf het begintijdstip in deze uitvoer is 1084798479 = 17 mei 12:54:39 (GMT) wat u ontvangt.

Voer vanuit de CLI de iplog-status in om deze uitvoer te ontvangen:

"

Log ID:             138343946

IP Address:         xxx.xxx.xxx.xxx

Group:              0

Status:             completed

Start Time:         1084798479512524000

End Time:           1084798510136582000

Bytes Captured:     2833

Packets Captured:   14

"

Q. De "IOExceptie wanneer u certificaat probeert te verkrijgen: java.security.cert.CertificateExpiredException". Er verschijnt een foutmelding. Hoe kan dit worden opgelost?

A. Om deze foutmelding op te lossen, logt u in op AIP-SSM en geeft u de sleutel van TTS op in de bevoorrechte EXEC-modus zoals in dit voorbeeld:

sensor#tls generate-key

Opmerking: Deze resolutie van het gebruik van de opdrachttabellen genereert ook een oplossing voor het probleem van AIP-SSM dat niet op de IME kan worden aangesloten.

V. De "IOExceptie: Verbinding geweigerd:verbinding. IME IME-server reageert niet. Controleer of er een" foutbericht verschijnt terwijl ik IPS in IME toevoegt. Hoe kan deze kwestie worden opgelost?

A. Om deze foutmelding op te lossen, kiest u Configuratiescherm > Gereedschappen > Services en start u de IME-services opnieuw.

Q. Het kon geen configuratie gebruikersnaam/wachtwoord[IOEXception - connect time-out] foutmelding verifiëren wanneer ik een IPS-sensor aan de IME toevoegt. Hoe kan deze kwestie worden opgelost?

A. Dit duidt op een verbroken communicatie tussen de IME en de IPS-sensor. Zorg dat er geen software is die de SDEE blokkeert.

Q. De "foutenreactie van de IME-server: Onbekende fout (controleer logbestand in logmap van installatie)" . foutmelding verschijnt. Hoe kan deze kwestie worden opgelost?

A. Om deze foutmelding op te lossen, controleert u of het juiste IP-adres wordt gebruikt wanneer u IPS in IME toevoegt en controleert u ook alle softwarefirewall die op IME-computer werkt en die de verbinding kan blokkeren.

Q. Kan de IPS-sensor (IDS of Inbraakpreventiesysteem) e-mailwaarschuwingen verzenden?

A. De IDS-sensor is niet in staat om e-mailwaarschuwingen op zichzelf te verzenden. Security Monitor bij gebruik met IDS heeft de mogelijkheid e-mailberichten te verzenden als een Event Rule door de sensor wordt geactiveerd.

Zie E-mailmeldingen configureren voor meer informatie over het configureren van e-mailberichten met Security Monitor.

Cisco IPS Manager Express (IME) kan worden ingesteld om het e-mailwaarschuwing (waarschuwingen) te verzenden wanneer Event Regels worden geactiveerd door Cisco IPS-sensoren. Raadpleeg IPS 6.X en hoger: E-mailmeldingen met behulp van IME-configuratievoorbeeld voor meer informatie.

Q. De fout: Kan niet communiceren met mainApp (getVersie). Neem contact op met de systeembeheerder. Er verschijnt een foutmelding als ik mijn sensor probeer aan te sluiten. Hoe kan deze kwestie worden opgelost?

A. Herstart de sensor om dit probleem op te lossen.

Q. De waarschuwing: WAARSCHUWING: Onvoldoende middelen beschikbaar om alle momenteel actieve douanebestanden te combineren. Sommige waarschuwingen zullen niet branden. Overweeg het intrekken van handtekeningen tot dit bericht niet langer voorkomt. foutmelding lijkt te zijn afgestemd op mijn sensor. Hoe kan deze kwestie worden opgelost?

A. Vermeld de handtekeningen die niet zijn gebruikt om dit probleem op te lossen en het aantal klanthandtekeningen met regexes moet worden verminderd. Het wordt ook niet aanbevolen om * en + metacharacters in regexes te gebruiken.

Q. Waarom komen problemen met de latentie voor op Cisco IPS-sensoren (Inbraakpreventiesysteem)? Hoe kan deze kwestie worden opgelost?

A. De latentiekwestie kan zich voordoen door de assymetrische routing. Probeer handtekening 1330 uit te schakelen om dit probleem op te lossen.

Q. Is het mogelijk om SSHv1 uit te schakelen en alleen de SSHv2 uit te schakelen dat is ingeschakeld op de Cisco-sensoren voor inbraakpreventiesysteem (IPS)?

A. Op dit moment is het niet mogelijk SSHv1 uit te schakelen en alleen SSHv2 ingeschakeld te laten. Zowel SSHv1 als SSHv2 worden samen ingeschakeld en kunnen niet afzonderlijk worden uitgeschakeld.

Q. De fout: Er is een fout opgetreden bij de sensor tijdens de update, sensorbericht = De update vereist 115000 KB in /usr/cids/idsRoot/var, er zijn slechts 110443 KB beschikbaar. bericht verschijnt wanneer ik de sensor vervolg op versie 4.1(5). Hoe kan deze kwestie worden opgelost?

A. Deze foutmelding wordt veroorzaakt door onvoldoende geheugen in de sensor.

Voltooi deze taken om dit probleem op te lossen:

1. Inloggen op servicerekening en wortel worden

2. Verwijder de volgende gidsen zoals hieronder weergegeven:
# rm -rf /usr/cids/idsRoot/var/updates/files/S69

# rm -rf /usr/cids/idsRoot/var/updates/files/common

# rm /usr/cids/idsRoot/var/virtualSensor/*

# rm /usr/cids/idsRoot/var/.tmp/*

3. Probeer nu de sensor te verbeteren. Raadpleeg Cisco bug-ID CSCsb81288 (alleen geregistreerde klanten) voor meer informatie.

Q. Ik krijg de mainApp[396] toestel/E Error - Accepteer() oproep teruggegeven -1 foutmelding in het log op ASA. Hoe kan deze fout worden opgelost?

A. De mainApp[396] cplane/E Error - Accepteer() oproep teruggegeven -1 foutmelding geeft aan dat webserver het bestand niet kan lezen en dat het bestand niet kan accepteren() programma mislukt, wat bestandsdescriptoren oplevert wanneer TLS-verbindingen bestaan. Maar dit bestand is niet nodig voor normaal gedrag. Het is onschadelijk.

Q. Hoe los ik de TLS/W errTransport WebSession op::sessieTask TLS verbinding uitzondering: onvolledige foutmelding van een handdruk?

A. Deze foutmelding geeft aan dat het certificaat niet langer geldig is in de module. Voltooi deze stappen om het probleem op te lossen:

1. Reinig het certificaat van de CLI:

1. Meld u aan bij de opdrachtregel van de sensor.

2. Geef de tapes uit en druk op binnenkomen. Let op de weergegeven vingerafdrukken.

2. Trek het nieuwe certificaat naar IME:

1. Open de IME-toets en plaats de naam van de sensor in de lijst op de startpagina.

2. Klik met de rechtermuisknop op de sensor en klik op Bewerken.

3. Wanneer u het scherm Apparaat bewerken bereikt, klikt u op OK. omzeilen elke waarschuwing dat de sensortijd niet kan worden hersteld.

4. Het nieuwe beveiligingscertificaat geeft u weer (het certificaat dat u zojuist hebt gegenereerd). Controleer of de vingerafdrukken overeenkomen en klik op Ja.

5. Na enkele seconden dient de sensor "Connected" in de Event Status weer te geven.

Q. Wanneer ik probeer in te loggen bij IPS, ontvangt ik deze foutmelding: errSystemError-ct-sensorAPP.450 niet reageert, clientpijp mislukt. Hoe kan ik deze fout oplossen?

A. Om deze fout op te lossen, gebruikt u de opdracht reset om de IPS opnieuw op te starten.

Q. De tijd op AIP-SSM verschilt van de tijd op de Cisco adaptieve security applicatie (ASA). Hoe kan deze kwestie worden opgelost?

A. Gebruik de NTP-server om de tijd op de Cisco adaptieve security applicatie (ASA) en AIP-SSM te synchroniseren om dit probleem op te lossen.

Zie NTP configureren op IPS-sensoren voor meer informatie.

V. Hoe kan ik meerdere virtuele sensoren op AIP-SSM toepassen?

A. Virtuele sensoren op AIP-SSM kunnen niet per interface worden toegepast, omdat AIP-SSM slechts één interface heeft. Wanneer u meerdere virtuele sensoren maakt, moet u deze interface aan slechts één virtuele sensor toewijzen. U hoeft geen interface aan te wijzen voor de andere virtuele sensoren.

Nadat u virtuele sensoren hebt gemaakt, moet u deze in kaart brengen naar een beveiligingscontext op de adaptieve security applicatie (ASA) met behulp van de opdracht toewijzings-ips. U kunt veel beveiligingscontexten op veel virtuele sensoren in kaart brengen. Raadpleeg het gedeelte Virtuele sensoren toewijzen aan adaptieve security applicatie contexten van AIP-SSM voor meer informatie.

V. Wat is het maximale aantal virtuele sensoren dat wordt ondersteund door AIP-SSM?

A. Er kunnen maximaal vier virtuele sensoren worden ondersteund.

Q. Als ik SSH of IDM gebruik om in te loggen op IPS, is het dan mogelijk om IPS 4240/IDSM/IDSM2 te configureren om beheergebruikers te valideren tegen een RADIUS/TACACS+ server?

A. Het is niet mogelijk met een TACACS+ server maar RADIUS wordt ondersteund door de IPS 7.0.(4)E4 release. Raadpleeg de delen Nieuwe en gewijzigde informatie en beperkingen en beperkingen van de release Notes voor Cisco inbraakpreventiesysteem 7.0(4)E4 voor meer informatie. Raadpleeg ook IPS 7.X: Login-verificatie van gebruiker met ACS 5.X als voorbeeld voor configuratie van RADIUS-server voor een voorbeeldconfiguratie.

Q. Wat is de impact van een verlopen licentie op IPS-functie?

A. De enige impact die een verlopen licentie heeft op de sensor is dat de signatuur niet bijgesteld wordt.

Q. Hebben de IPS-handtekeningen een impact op de diensten of netwerkconnectiviteit?

A. Nee. De IPS-handtekeningen-updates hebben geen invloed op de diensten of de netwerkconnectiviteit.

Q. Wat is de precieze URL die ik moet invoeren voor de IPS module om automatisch bij te werken met de nieuwste handtekeningen?

A. De koppeling die vereist is om de IPS-module in staat te stellen automatisch bij te werken met de nieuwste handtekening is: https://198.133.219.25/cgi-bin/front.x/ida/locator/locator.pl.

U moet uw Cisco gebruikers-id en -wachtwoord gebruiken om de update van de IPS-module te voltooien.

Opmerking: In de 6.x-serie van code worden automatische updates van Cisco.com niet ondersteund. U moet de bestanden handmatig downloaden en op de sensor toepassen. Er is een auto-update functie in de 6.x code; dit is echter alleen mogelijk vanaf een lokale bestandserver waarin de bestanden met handtekeningen ook handmatig moeten worden gedownload .

Q. Is de IPS-sensor kwetsbaar voor de X11-poortverzendsessie die een hapering maakt?

A. Nee. Het is om deze redenen niet kwetsbaar:

- De sensor heeft geen X11-bibliotheken. Daarom zijn er geen sessies om een hijack te sluiten.

- X11 port expanderen is niet ingeschakeld in de SSH-configuratie.

- IPv6 wordt niet in de sensorkern gecompileerd. Dit is nodig om de kwetsbaarheid te benutten.

Q. Waarom laat AIP-SSM geen logbestanden zien wanneer de ASA voldoende waarschuwingsblogs en aanvalslogboeken toont?

A. Dit gebeurt omdat wanneer de ASA iets blokkeert, het niet wordt doorgegeven aan de IPS voor dubbele inspectie. Daarom kunt u geen duplicaten zien van logbestanden op de ASA en IPS.

Q. Nadat een gebruiker de S518 signatuur-set heeft geimplementeerd, verschijnt de foutmelding "ongeldigeValue:Bewerken string-xl-tcp sig XXXX zonder effect in deze versie". Waarom?

A. Dit is de volledige foutmelding:

evError: eventId=1284051856322985135 vendor=Cisco severity=warning

originator:

hostId: vbintestids03

appName: sensorApp

appInstanceId: 700

time: offset=-240 timeZone=GMT-05:00 1286305251136551000

errorMessage: name=errWarning invalidValue:Editing string-xl-tcp

sig 21619 has NO effect

Deze kwestie komt naar voren omdat de string-xl-tcp of string-tcp-xl motor niet ondersteund wordt op de hardware. Raadpleeg voor meer informatie de IPS Engine E4 release Notes.

Q. Wanneer ik automatisch handtekeningen op een ASA-SSM-10 update met de automatische update functie, ontvang ik deze foutmelding: Geen installeerbaar auto update pakket gevonden op server status=True. Hoe kan ik deze kwestie oplossen?

A. Deze uitvoer toont de volledige foutmelding:

autoUpgradeServerCheck:

uri: https://XX.XX.XX.XX//cgi-bin/front.x/ida/locator/locator.pl

packageFileName:

result: No installable auto update package found on server  status=true

Deze fout is gemaakt en de handtekeningen werken niet automatisch bij omdat de definitie van de handtekeningen na S479 de E4-motor vereist. U moet de sensor handmatig upgraden naar 7.0(2)E4 om dit op te lossen.

N.B.: De sensor kan zichzelf niet automatisch tot E4 upgraden omdat deze 7.0(2) vereist en de sensor opnieuw opgestart is.

Q. De automatische update optie op de IPS 5.0 voor NIDS-module werkt niet. Hoe kan ik deze kwestie oplossen?

A. Deze uitvoer toont de volledige foutmelding:

autoUpgradeServerCheck:

uri: ftp://hfcu-inet01@192.168.1.12//ips-update/

packageFileName:

result: No installable auto update package found on server  status=true

Dit probleem doet zich voor vanwege een ongeschikte stijl voor het maken van een folder met de FTP server. Om dit op te lossen, switch aan UNIX-achtige folder lijsten van de bestaande MS-DOS stijl folder.

Als u de instellingen voor de folder wilt wijzigen, selecteert u Start > Programma-bestanden > Beheertools om Internet Services Manager te openen. Ga dan naar het tabblad Home Directory en wijzig de stijl van de folder van MS-DOS in UNIX.

Q. IPS-4255 ontvangt de SensorApp faalt in TcpRootNode::eindeNow() foutmelding tijdens een upgrade. Hoe los ik deze kwestie op?

A. Dit probleem is te wijten aan de defect van de analysekotor en wordt aangepakt in Cisco bug ID CSCtb39179 (alleen geregistreerde klanten). upgrade van de sensor naar versie 7.0(4)E4 om dit probleem op te lossen.

Q. Wanneer ik een licentieverslag probeer uit te voeren nadat ik een nieuwe licentie heb gekocht, meldt het apparaat deze fout: "Geen licentie op sensor bijgewerkt." 'Verlopen licentie-De nieuwe licentie vervalt op meer dan de huidige datum.' Hoe kan ik deze kwestie oplossen?

A. Deze kwestie doet zich voor wanneer het ontvangen licentieserverbestand ongeldig is. Om een geldig licentieserbestand te verkrijgen, logt u in op Cisco.com als een geregistreerde gebruiker en download u het juiste licentiebestand. Nadat u het juiste licentiebestand hebt aangeschaft, installeert u het op uw sensor.

Als u het nieuwe licentibestand installeert en u nog steeds een fout ontvangt, wordt er mogelijk een probleem met het bestaande ongeldige licentieserbestand weergegeven. Voltooi de volgende stappen om het bestaande ongeldige licentieserbestand te verwijderen om deze kwestie op te lossen:

1. Meld u aan bij de servicerekening door de naam van de servicerekening te typen.

Als u geen serviceaccount hebt, opent u de IPS-opdrachtregel, zet u de configuratie-modus in en voert u deze opdracht in

gebruikersnaam voor voorkeurswachtwoord wachtwoord voor service

ciscoasa# session 1

Opening command session with slot 1.

Connected to slot 1. Escape character sequence is 'CTRL-^X'.

login:

Password:

IPS#

IPS#conf t

IPS(config)# username name privilege service password password

2. Als u eenmaal hebt aangemeld bij uw servicerekening, voert u de su-opdracht in om naar wortel te gaan (met hetzelfde wachtwoord als de servicerekening).

3. Verwijdert de bestanden in de /usr/cids/ids/idsRoot/Shared/folder.

Opmerking: wis het host.conf-bestand niet.

1. Voer de cd /usr/cids/ids/idsRoot/Shared/opdracht in om naar de gedeelde map te gaan.

2. Voer de opdracht LS in om de bestanden in de map weer te geven.

3. Typ de opdracht rm file_name om de bestanden te verwijderen.

Opmerking: wis het host.conf-bestand niet.

4. Voer de /etc/init.d/cids start de opdracht opnieuw op om de sensor opnieuw op te starten.

5. Installeer de nieuwe licentie.

Er is een Cisco-bug ingeschakeld om dit gedrag aan te pakken. Raadpleeg voor meer informatie CSCtg76339 (alleen geregistreerde klanten).

Q. Wat doet de foutmelding: IpLog 171204197 werd vroeg beëindigd door gebrek aan bestandshandleidingen. name=ErrLimitOvergedraaid foutmelding betekenen? Hoe los ik deze kwestie op?

A. Deze fout wordt veroorzaakt door een excessief aantal pakketten op IP-vastlegging. Schakel de IP-logfunctie uit om dit probleem op te lossen. IP-vastlegging is alleen bedoeld voor probleemoplossing; Cisco raadt u aan het niet voor alle handtekeningen in te schakelen.

Q. Ik krijg deze fout wanneer ik de sensor van s550 tot s551 update: Kan de huidige configuratie niet ontleden voor de component "signatuurDefinition" en de instantie "sig0". Hoe kan ik deze kwestie oplossen?

A. Wijziging van ondertekening 23899.0 veroorzaakt deze kwestie. Raadpleeg Cisco bug-ID CSCtn8452 (alleen geregistreerde klanten) voor meer informatie.

Q. Ik krijg deze fout op de sensor: Fout: AutoUpdate heeft een pakket van de locator van cisco.com geselecteerd, maar het pakket is niet gedownload : Ontvang de HTTP-respons niet. Hoe kan ik deze kwestie oplossen?

A. Controleer of er URL-filtering, contentfiltering of een proxy server aanwezig is die de autoUpdate blokkeert. Zorg dat autoUpdate niet wordt geblokkeerd en controleer ook of de opgegeven gebruikersreferenties correct zijn.

Q. Ik ontvang deze XML foutmelding op de IPS-sensor die werkt met versie 6.2(3)E4: foutmelding: IPS-software heeft geprobeerd ongeldige XML-gegevens voor (token) te schrijven. Ongeldige XML tekens werden vervangen door '*'. Hoe kan ik deze kwestie oplossen?

A. Dit gedrag is aangepakt door Cisco bug-ID CSCsq50873 (alleen geregistreerde klanten). Dit is een cosmetisch probleem en leidt niet tot operationele overheadkosten, behalve de overmatige hoeveelheid stammen die worden ontvangen. Een tijdelijke oplossing is het verwijderen van de NTP-gerelateerde configuratie op de sensor. Voor een permanente oplossing, upgrade naar een versie waarin dit bug is gerepareerd.

Q. Waarom maakt het IME-werkstation constante verbindingen met beheerde servers ondanks dat de client gesloten is?

A. IME functioneert als twee Windows services en de GUI client. Wanneer de client gesloten is, blijven de twee Windows services (Cisco IPS Manager Express en MySQL-IME) gebeurtenissen uitvoeren en verzamelen van de beheerde sensoren en opslaan ze in de lokale MySQL-database; hierdoor kan historische rapportage plaatsvinden .

De IME-client moet één SDEE-abonnement openen op de beheerde sensor en deze abonnement opnieuw gebruiken voor de volgende activiteit om gebeurtenissen te herstellen. De constante verbinding van het IME-werkstation naar de beheerde sensoren wordt verwacht.

Q. Kan de AIP-SSM-module worden gebruikt als een SPAN-doel?

A. Nee. De AIP-SSM-module kan niet worden gebruikt als een SPAN-doel, aangezien hij alleen wordt gebruikt om het verkeer te controleren dat door de ASA-interface stroomt.

Q. Waarom wordt het gebruik van hoge CPU waargenomen nadat de IPS is bijgewerkt naar de E3-motor?

A. Met E3 motorupdates gebruikt IPS een ander algoritme om zijn nutteloze tijd te beheren en meer tijd te besteden aan pakketten om latentie te verminderen. Deze toegenomen controle veroorzaakt een corresponderende toename van het CPU-gebruik. De juiste manier om de CPU in E3 te meten, is niet door CPU-gebruik, maar door het percentage van de pakketbelasting dat het juiste gebruik van de CPU laat zien.

Q. Waarom wordt LED in de gezondheidsstatus met tussenpozen ROOD op mijn IPS-apparaat?

A. Dit zou kunnen gebeuren door een onjuist certificaat op het beheersstation op afstand, door software te gebruiken zoals CS-MARS, CSM, IEV, VMS-IDS/IPSMC, enz. Voer de volgende stappen uit om dit probleem op te lossen:

1. Pas het TLS-certificaat van de sensor aan op het afstandsbediening.

2. Configureer een geldige DNS-server.

Q. Hoe kan IPS worden tegengehouden om het verkeer van HTTP uit te stellen terwijl ze zijn interfaces oversteken?

A. Door de sensor te configureren om in asymmetrische modus te werken, wordt het probleem opgelost. Voltooi de volgende stappen om de sensor in asymmetrische stand te plaatsen:

1. Ga naar Configuratie > Beleid > IPS-beleid.

2. Dubbelklik op virtuele sensor.

3. Ga naar geavanceerde opties.

4. Selecteer onder normale omstandigheden de optie Asymmetric Mode Protection.

5. Klik op OK.

6. Reinig de eenheid opnieuw zodat de wijzigingen van kracht kunnen worden.

Gerelateerde informatie

- Ondersteuning van Cisco Secure Inbraakpreventiesysteem

- Probleemoplossing voor AIP-SSM

- Security meldingen uit het veld (inclusief Cisco Secure Inbraakdetectie)

- Technische ondersteuning en documentatie – Cisco Systems