在安全防火墙威胁防御7.4中配置AppID早期数据包检测

> curl https://www.example.com/
curl: (35) OpenSSL SSL_connect: SSL_ERROR_SYSCALL in connection to www.example.com:443 

> curl https://192.0.2.1/
curl: (7) Failed to connect to 192.0.2.1 port 443: Connection refused

防火墙管理中心演练

使用API创建自定义检测器的步骤

在FMC上创建新的自定义检测器，可从以下网址获得：

• Policies > Application Detectors > Create Custom Detector .

• 定义名称和说明。
  • 从下拉菜单中选择应用。
  • 选择Advanced Detector Type。

• 上传Detection Criteria下的Lua文件。保存并激活检测器。

已禁用Respect Enabled v/s

• 这两个事件显示连接开始时间v/s和连接结束时间（启用重新检查时）。

注意：注意事项：

1. “HTTPS、Webex和Webex团队”在连接开始时由API标识。由于重新检查是真实的，因此应用发现会继续，并且appId会更新为“HTTPS、SSL客户端和Gyazo团队”。

2. 注意发起方和响应方数据包的数量。常规应用检测方法需要比API更多的数据包。

故障排除/诊断

诊断概述

• 系统支持应用识别调试中添加新日志，以指示第1个数据包检测API是否发现任何应用。
• 日志还会显示用户是否选择重新检查流量。
• 用户上传的lua检测器文件的内容可以在FTD的/var/sf/appid/custom/lua/<UUID>下找到。
• 在激活检测器时，lua文件中的任何错误都会转储到/var/log/messages文件中的FTD上。

CLI：系统支持应用识别调试

192.0.2.1 443 -> 192.168.1.16 51251 6 AS=4 ID=0 New AppId session
192.0.2.1 443 -> 192.168.1.16 51251 6 AS=4 ID=0 Host cache match found on first packet, service: HTTPS(1122), client: AOL(1419), payload: AOL(1419), reinspect: False
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 app event with client changed, service changed, payload changed, referred no change, misc no change, url no change, tls host no change, bits 0x1D
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 New firewall session
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 Starting with minimum 2, 'New-Rule-#1-MONITOR', and SrcZone first with zones 1 -> 1, geo 0(xff 0) -> 0, vlan 0, src sgt: 0, src sgt type: unknown, dst sgt: 0, dst sgt type: unknown, svc 1122, payload 1419, client 1419, misc 0, user 9999997, no url or host, no xff
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 match rule order 2, 'New-Rule-#1-MONITOR', action Audit
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 match rule order 3, 'New-Rule-#2-BLOCK_RESET', action Reset
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 MidRecovery data sent for rule id: 268437504, rule_action:5, rev id:3558448739, rule_match flag:0x1
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 Generating an SOF event with rule_id = 268437504 ruleAction = 5 ruleReason = 0
192.168.1.16 51251 -> 192.0.2.1 443 6 AS=4 ID=0 reset action

AppID Lua检测器内容的位置

要确认Device/FTD上是否存在具有此新API的Lua检测器，您可以查看addHostFirstPktApp API是否正用于2个应用检测器文件夹：

1. VDB AppID检测器-/var/sf/appid/odp/lua

2. 自定义检测器-/var/sf/appid/custom/lua

例如：在每个文件夹中grep addHostFirstPktApp * 。


问题示例：

1. 问题：未在FMC上激活自定义Lua检测器。

           检查位置：  /var/sf/appid/custom/lua/

           预期结果：FMC上激活的每个自定义应用检测器必须在此存在一个文件。验证内容是否与上传的lua文件匹配。

2. 问题：上传的lua检测器文件出错。

           要检查的文件：  /var/log/messages on FTD

           错误日志:

Dec 18 14:17:49 intel-x86-64 SF-IMS[15741]: Error - appid: can not set env of Lua detector /ngfw/var/sf/appid/custom/lua/6698fbd6-7ede-11ed-972c-d12bade65dc9 : ...sf/appid/custom/lua/6698fbd6-7ede-11ed-972c-d12bade65dc9:37: attempt to index global 'gDetector' (a nil value)

故障排除步骤

问题：没有为流向用户定义的IP地址和端口的流量正确识别应用。

故障排除的步骤：

• 验证是否在FTD上正确定义并激活了LUA检测器。
  • 验证FTD上lua文件的内容，并检查激活时是否显示错误。
• 检查流量会话中第一个数据包的目的IP、端口和协议。
  • 它可以与lua检测器中定义的值相匹配。
• 检查system-support-application-identification-debug。
  • 查找行如果Host cache match found on first packet. 缺少此行，则表明该API未找到任何匹配。

限制详细信息、常见问题和解决方法

在7.4中，没有使用API的UI。未来版本中将增加UI支持。

修订历史纪录