Configurar a Detecção Antecipada de Pacotes do AppID no Secure Firewall Threat Defense 7.4

> curl https://www.example.com/
curl: (35) OpenSSL SSL_connect: SSL_ERROR_SYSCALL in connection to www.example.com:443 

> curl https://192.0.2.1/
curl: (7) Failed to connect to 192.0.2.1 port 443: Connection refused

Passo a passo do Firewall Management Center

Etapas para criar um detector personalizado usando a API

Criar um novo detector personalizado no FMC de:

• Policies > Application Detectors > Create Custom Detector .

• Definir nome e descrição.
  • Escolha o aplicativo no menu suspenso.
  • Selecione Advanced Detector Type (Tipo de detector avançado).

• Carregue o arquivo Lua em Critérios de detecção. Salve e ative o detector.

Reinspect Enabled v/s Disabled (Reinspecionar habilitado v/s desabilitado)

• Os dois eventos mostram o início da conexão v/s e o fim da conexão quando a reinspecção está habilitada.

Observação: o que observar:

1. As "Equipes HTTPS, Webex e Webex" são identificadas pela API no início da conexão. Como a reinspecção é verdadeira, a descoberta de aplicativos continua e as appIds são atualizadas para ‘HTTPS, SSL Client e Gyazo Teams’.

2. Observe o número de pacotes do iniciador e do respondente. Os métodos de detecção de aplicativos regulares exigem muito mais pacotes do que a API.

Solução de problemas/diagnóstico

Visão Geral do Diagnóstico

• Novos registros são adicionados à depuração de identificação de aplicativo de suporte do sistema para indicar se algum aplicativo foi encontrado pela 1ª API de detecção de pacote.
• Os registros também mostram se o usuário escolheu a reinspecção de tráfego.
• O conteúdo do arquivo de detector de lua carregado pelo usuário pode ser encontrado no FTD em /var/sf/appid/custom/lua/<UUID> .
• Quaisquer erros no arquivo lua são despejados no FTD no arquivo /var/log/messages no momento da ativação do detector.

CLI: system support application-identification-debug

192.0.2.1 443 -> 192.168.1.16 51251 6 AS=4 ID=0 New AppId session
192.0.2.1 443 -> 192.168.1.16 51251 6 AS=4 ID=0 Host cache match found on first packet, service: HTTPS(1122), client: AOL(1419), payload: AOL(1419), reinspect: False
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 app event with client changed, service changed, payload changed, referred no change, misc no change, url no change, tls host no change, bits 0x1D
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 New firewall session
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 Starting with minimum 2, 'New-Rule-#1-MONITOR', and SrcZone first with zones 1 -> 1, geo 0(xff 0) -> 0, vlan 0, src sgt: 0, src sgt type: unknown, dst sgt: 0, dst sgt type: unknown, svc 1122, payload 1419, client 1419, misc 0, user 9999997, no url or host, no xff
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 match rule order 2, 'New-Rule-#1-MONITOR', action Audit
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 match rule order 3, 'New-Rule-#2-BLOCK_RESET', action Reset
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 MidRecovery data sent for rule id: 268437504, rule_action:5, rev id:3558448739, rule_match flag:0x1
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 Generating an SOF event with rule_id = 268437504 ruleAction = 5 ruleReason = 0
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 reset action

Local do Conteúdo de Detectores Lua do AppID

Para confirmar se o Detector Lua com essa nova API existe no Dispositivo/FTD, você pode verificar se a API addHostFirstPktApp está sendo usada nas 2 pastas do detector de aplicativos:

1. VDB AppID detectors -/var/sf/appid/odp/lua

2. Detectores Personalizados -/var/sf/appid/custom/lua

Por exemplo:grep addHostFirstPktApp *  em cada pasta.


Exemplos de problemas:

1. Problema: Detector Lua personalizado não ativado no FMC.

           Local a ser verificado:  /var/sf/appid/custom/lua/

           Resultado esperado: um arquivo para cada detector de aplicativo personalizado ativado no FMC deve existir aqui. Verifique se o conteúdo corresponde ao arquivo lua carregado.

2. Problema: O arquivo de detector de lua carregado tem erros.

           Arquivo a ser verificado:  /var/log/messages on FTD

           Log de erros:

Dec 18 14:17:49 intel-x86-64 SF-IMS[15741]: Error - appid: can not set env of Lua detector /ngfw/var/sf/appid/custom/lua/6698fbd6-7ede-11ed-972c-d12bade65dc9 : ...sf/appid/custom/lua/6698fbd6-7ede-11ed-972c-d12bade65dc9:37: attempt to index global 'gDetector' (a nil value)

Passos de Troubleshooting

Problema: aplicativos não identificados corretamente para o tráfego que vai para a porta e o endereço IP definidos pelo usuário.

Etapas para solucionar problemas:

• Verifique se o detector de lua está definido corretamente e ativado no FTD.
  • Verifique o conteúdo do arquivo lua no FTD e verifique se nenhum erro é visto na ativação.
• Verifique o IP destino, a porta e o protocolo do primeiro pacote na sessão de tráfego.
  • Ele pode corresponder aos valores definidos no detector de lua.
• Verifique o comando system-support-application-identification-debug.
  • Procure a linha Host cache match found on first packet. Se ela estiver ausente, isso indica que nenhuma correspondência foi encontrada pela API.

Detalhes das limitações, problemas comuns e soluções alternativas

Na versão 7.4, não há interface do usuário para usar a API. O suporte à interface do usuário seria adicionado em versões futuras.

Histórico das revisões