Introdução
Este documento descreve as falhas que o conector Linux levanta/limpa para notificar quando condições que afetam o funcionamento adequado são detectadas/resolvidas.
Falhas do conector Linux de endpoint seguro
Falha 5: Usuário do serviço de verificação indisponível
Condição
O conector falhou ao criar o usuário cisco-amp-scan-svc para executar o processo de varredura de arquivos. Como solução alternativa, o conector recuou para usar o usuário raiz para executar verificações de arquivos. Isso se desvia do projeto planejado e deve ser corrigido.
Resolução
- Se o usuário ou grupo cisco-amp-scan-svc tiver sido excluído ou tiver suas configurações modificadas, reinstale o conector para recriar o usuário e o grupo com as configurações necessárias. Consulte /var/log/cisco/ampdaemon.log para obter detalhes.
- Se a criação de usuário/grupo for restrita por meio das configurações em /etc/login.defs, esse arquivo deverá ser temporariamente alterado enquanto o instalador do conector Linux estiver em execução para permitir que o usuário e o grupo cisco-amp-scan-svc sejam criados. Para fazer isso, altere
USERGROUPS_ENAB em /etc/login.defs de não para sim.
- Se outro programa modificou uma das permissões de diretório do conector (por exemplo, /opt/cisco ou um diretório filho), defina as permissões de diretório de volta ao padrão (por exemplo, 0755). Certifique-se de que nenhum programa futuro modifique o diretório /opt/cisco ou qualquer um de seus diretórios filho e, em seguida, reinicie o serviço de conector.
Falha 6: O serviço de verificação é reiniciado com frequência
Condição
O processo de verificação de arquivo do conector encontrou falhas repetidas e o conector foi reiniciado em uma tentativa de limpar a falha. O conector continuará a varredura na base do melhor esforço.
Resolução
Um ou mais arquivos no sistema podem estar causando a falha do algoritmo de verificação quando verificado. Se essa falha não for apagada automaticamente dentro de 10 minutos após o conector ser reiniciado, uma investigação adicional será necessária. A capacidade do conector de executar varreduras será degradada até que o problema seja resolvido.
Consulte /var/log/cisco/ampdaemon.log e /var/log/cisco/ampscansvc.log para obter detalhes.
Falha 7: Falha Ao Iniciar Serviço De Verificação
Condição
Falha ao iniciar o processo de verificação de arquivo do conector, e o conector foi reiniciado em uma tentativa de eliminar a falha. A verificação de arquivo está desabilitada enquanto essa falha é gerada.
Resolução
Essa falha poderá ser disparada se for encontrado um erro ao carregar arquivos de definição de vírus (.cvd) recém-instalados. O conector executa várias verificações de integridade e estabilidade antes de ativar os novos arquivos .cvd para evitar essa falha. Ao reiniciar, o conector remove todos os arquivos .cvd inválidos para que o conector possa continuar.
- Se essa falha não for eliminada após o reinício do conector, será necessária uma intervenção adicional do usuário. Se essa falha se repetir com cada atualização do .cvd, um arquivo .cvd inválido não será detectado corretamente pelas verificações de integridade do arquivo .cvd do conector.
- Se a máquina estiver com pouca memória disponível, talvez o serviço do scanner não possa ser iniciado. Consulte os Requisitos do sistema Linux no Guia do usuário de endpoints seguros Guia do usuário de endpoints seguros.
Consulte os sites /var/log/cisco/ampdaemon.log e /var/log/cisco/ampscansvc.log para obter detalhes.
Falha 8: Falha Ao Iniciar O Monitor Do Sistema De Arquivos Em Tempo Real
Condição
O conector não pode carregar o módulo de kernel subjacente necessário para o monitoramento da atividade do sistema de arquivos quando a política de conector está com a opção "Monitorar Cópias e Movimentações de Arquivos" habilitada. O monitoramento do sistema de arquivos não está disponível enquanto esta falha é gerada.
Resolução
- Desative a Inicialização segura da UEFI no sistema.
- Se a Inicialização Segura estiver desativada, pode haver uma incompatibilidade entre o módulo do kernel
ampfsm fornecido com o conector e o kernel do sistema ou outros módulos do kernel de terceiros instalados no sistema. Revise /var/log/messages para obter detalhes.
- Se o conector estiver sendo executado em uma versão de kernel sem suporte, instale uma versão de kernel com suporte ou crie um módulo de
kernel ampfsm personalizado para o kernel do sistema em execução no momento. Consulte Building Cisco Secure Endpoint Linux Connector Kernel Modules para obter mais informações.
Falha 9: falha ao iniciar o monitor de rede em tempo real
Condição
O conector não pode carregar o módulo de kernel subjacente necessário para o monitoramento de atividade de rede quando a política de conector está com a opção "Habilitar Correlação de Fluxo de Dispositivo" habilitada. O monitoramento de rede não está disponível enquanto essa falha é gerada.
Resolução
- Desative a Inicialização segura da UEFI no sistema.
- Se a Inicialização Segura estiver desabilitada, pode haver uma incompatibilidade entre o módulo do kernel
ampnetworkflow fornecido com o conector e o kernel do sistema ou outros módulos do kernel de terceiros instalados no sistema. Revise /var/log/messages para obter detalhes.
- Se o conector estiver sendo executado em uma versão de kernel sem suporte, instale uma versão de kernel com suporte ou crie um módulo de kernel
ampnetworkflow personalizado para o kernel do sistema em execução no momento. Consulte Building Cisco Secure Endpoint Linux Connector Kernel Modules para obter mais informações.
Falha 11: O Pacote Kernel-Devel Necessário Está Ausente
Condição
O conector requer que uma das seguintes opções seja válida:
- O kernel atual tem
CONFIG_DEBUG_INFO_BTF habilitado ou
- O pacote de cabeçalho de kernel correto é instalado para monitorar o sistema de arquivos e os eventos da rede.
Se nenhuma dessas condições for atendida, essa falha será gerada e o conector monitorará os eventos do sistema de arquivos e da rede no modo degradado.
Resolução
- Atualize o kernel e reinicie o conector. Esta é a solução preferida.
- Se a falha persistir, instale o pacote de cabeçalho de kernel ausente:
- Para distribuições baseadas em RPM, instale o pacote
kernel-devel.
- Para distribuições Oracle Linux UEK, instale o pacote
kernel-uek-devel.
- Para distribuições baseadas em Debian, instale o pacote
linux-headers.
- Para distribuições SUSE, instale o pacote
kernel-default-devel.
Consulte Troubleshooting de Falha 11 do Conector Secure Endpoint Linux para obter mais detalhes.
Falha 16: Kernel incompatível
Condição
O conector não é compatível com o conector atualmente em execução e a política de conector tem "Monitorar cópias e movimentações de arquivos" ou "Habilitar correlação de fluxo de dispositivo" habilitado.
Resolução
Faça o downgrade do kernel para uma versão compatível ou atualize o conector para uma versão mais recente que ofereça suporte a esse kernel.
Consulte os Requisitos do Sistema Linux para obter mais detalhes sobre as versões de kernel suportadas.
Falha 18: O Monitoramento De Eventos Do Conector Está Sobrecarregado
Condição
O conector está sob carga pesada devido a um número excessivo de eventos do sistema. A proteção do sistema é limitada e o conector monitorará um conjunto menor de eventos críticos do sistema até que a atividade geral do sistema seja reduzida.
Resolução
Essa falha pode ser uma indicação de atividade mal-intencionada do sistema ou de aplicativos muito ativos no sistema.
- Se um aplicativo ativo for benigno e confiável para o usuário, ele poderá ser adicionado a um conjunto de exclusão de processo para reduzir a carga de monitoramento no conector. Essa ação pode ser suficiente para eliminar a falha.
- Se nenhum processo benigno causar carga pesada, será necessário investigar se o aumento da atividade é devido a um processo mal-intencionado.
- Se o conector estiver sob períodos curtos de carga pesada, é possível que essa falha possa se eliminar por si só.
- Se essa falha é gerada com frequência, não há processos benignos que causam carga pesada e nenhum processo mal-intencionado foi descoberto, então o sistema precisa ser reprovisionado para lidar com cargas mais pesadas.
Consulte Troubleshooting de Falha 18 do Conector Mac/Linux de Ponto Final Seguro para obter mais detalhes.
Falha 19: A Política SELinux Está Ausente Ou Desabilitada
Condição
A Política do Secure Enterprise Linux (SELinux) no sistema está impedindo que o conector monitore a atividade do sistema.
Se o SELinux estiver ativado e no modo de imposição, o conector precisará desta regra na Política do SELinux:
allow unconfined_service_t self:bpf { map_create map_read map_write prog_load prog_run };
Em sistemas Enterprise Linux, esta regra não está presente na Política padrão do SELinux. Durante uma instalação ou atualização, o conector tenta adicionar essa regra através da instalação de um módulo de política SELinux chamado cisco-secure-bpf. Se cisco-secure-bpf falhar ao instalar e carregar, ou for desabilitado, a falha será gerada.
Resolução
Para resolver a falha, certifique-se de que o pacote do sistema policycoreutils-python esteja instalado. Em seguida:
- Reinstale ou atualize o conector para disparar a instalação do
cisco-secure-bpf ou
- Adicione manualmente a regra à política do SELinux existente e reinicie o conector.
Para obter instruções mais detalhadas sobre como modificar a política do SELinux para resolver esta falha, consulte Falha na política do SELinux.
Feedback