Einleitung
In diesem Dokument wird der Abschnitt "Ampverdict" in den Protokollstufen INFO und DEBUG der Advanced Malware Protection (AMP)-Engine der Web Security Appliance (WSA) beschrieben.
Voraussetzungen
Anforderungen
Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:
- WSA installiert
- Dateireputation und Dateianalyse aktiviert
- Advanced Malware Protection
- Cisco Secure Web-Appliance
- SSH-Client
Verwendete Komponenten
Dieses Dokument ist nicht auf bestimmte Software- und Hardware-Versionen beschränkt.
Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.
Hintergrundinformationen
WSA bietet Integration mit AMP für Endgeräte und einer lokalen AMP-Engine. AMP bietet Malware-Schutz vor Zero-Day-Malware durch Funktionen zur Dateireputation und Dateianalyse. Die WSA umfasst eine Vorklassifizierungs-Engine, die vor der Prüfung der Public Cloud intern für Datei-Scans zuständig ist. Die im nächsten Abschnitt beschriebenen Protokolle beziehen sich auf die AMP-Engine auf der WSA und nicht auf die AMP-Cloud oder Threat Grid.
Fehlerbehebung bei WSA AMP-Protokollen
Zugriff auf die AMP-Protokolle Melden Sie sich über CLI und Tail an, oder erstellen Sie die AMP-Protokolle:
1. Melden Sie sich bei der CLI über den SSH-Client an.
2. Geben Sie den Befehl grep ein, und drücken Sie die Eingabetaste.
3. Geben Sie die Nummer von amp_logs bei der Bestellung ein.
4. Beantworten Sie die folgenden Optionen (Wenn Sie Live-Datenverkehr ausführen, wählen Sie die Option zum Verfolgen der Protokolle).
5. Drücken Sie die Eingabetaste.
6. Protokolle werden angezeigt.
WSA AMP-Protokolle existieren in verschiedenen Informationsebenen. Sie können die INFO-Ebene auswählen oder DEBUG die Ergebnisse, die leichte Unterschiede im nächsten Abschnitt erläutert haben.
Hinweis: Zur Auswahl der AMP-Protokolle muss die AMP-Lizenz auf der WSA installiert werden.
AMP-INFO-Protokolle:
Wed Apr 27 12:21:26 2022 Info: Txn 18210 Binary scan on instance[0] Id[1345]: AMP allocated memory = 0, AMP used memory = 0, Scans in flight = 1, Active faster connections = 1, Active slower connections = 0
Wed Apr 27 12:21:35 2022 Info: Binary scan on instance[0] id[1345]: filename[npp.8.4.Installer.x64.exe] filemime[application/x-dosexec] file_extension[exe] length[4493047b] ampverdict[(1, 1, 'amp', '', 0, 0, True)] scanverdict[0] malwareverdict[0] spyname[] SHA256[ecdcf497418a1988ebf20c647acadc9eca7bc8569fd980713582acd0de011ba1] From[Cloud] uploadreason[Enqueued in the local queue for submission to upload] verdict_str[FILE UNKNOWN] is_slow[0] scans_in_flight[0] Active faster connections[0] Active slower connections[0]
Wed Apr 27 12:22:28 2022 Info: File uploaded for analysis. Server: https://panacea.threatgrid.com, SHA256: ecdcf497418a1988ebf20c647acadc9eca7bc8569fd980713582acd0de011ba1, Filename: npp.8.4.Installer.x64.exeTimestamp: 1651044116 sampleid[]
AMP-INFO-Protokolle (ampverdict):
ampverdict[(1, 1, 'amp', '', 0, 0, True)]
(analysis_Action, scan_verdict, ‘verdict_source', ‘spyname’, malware_verdict, file_reputation, upload_action)]
AMP DEBUG-Protokolle:
Fri Apr 29 01:38:40 2022 Debug: Binary scan: proxid[3951] filename[favicon.ico] len[41566b] readtime[109.721680ms] scantime[2.205322ms] ampverdict[(1, 1, 'amp', '', 0, 0, False)] scanverdict[0] malwareverdict[0] SHA256[e7a2345c75a03e63202b12301c29bb8b6bae7cef9e191ed58797ec028def7c4f] From[Cloud] FileName[favicon.ico] FileMime[application/octet-stream]
AMP-DEBUG-Protokolle (ampverdict):
ampverdict[(1, 1, 'amp', '', 0, 0, False)]
ampverdict[(analysis_action, scan_verdict,disposition, ‘spyname: policy name if amp registered with console’, file_reputation, upload_action, ‘sha256', ‘threat_name’)]
Optionen für "Feld im Detail" und "Wert":
| Feld |
Wert |
| Analyse_Aktion |
"0" gibt an, dass Advanced Malware Protection den Upload der Datei nicht zur Analyse angefordert hat. "1" gibt an, dass Advanced Malware Protection den Upload der Datei zur Analyse angefordert hat. |
| Scan_Verdict |
0: Die Datei ist nicht schädlich.
1: Die Datei wurde aufgrund ihres Dateityps nicht gescannt.
2: Timeout beim Scannen der Datei
3: Suchfehler
Größer als 3: Datei ist schädlich |
| Verdict_Quelle |
AMP: Dateianalyse |
| Disposition |
1: Unbekannt
2: Bereinigen
3: Schädlich (AMP)
4: Nicht scanbar (nicht scanbar) |
| Spyname |
Leer: wenn die AMP-Outbreak-Richtlinie nicht verwendet wird
Simple_Custom_Detection: bei Verwendung einer AMP-Outbreak-Richtlinie |
| Upload_Aktion |
True: Die Datei ist auf Sandbox festgelegt.
Falsch: Datei wird nicht an die Sandbox gesendet |
| SHA256 |
SHA 256 |
| Bedrohungsname |
Bedrohungsname basierend auf AMP-Bedrohungstypen |
Zugehörige Informationen
Feedback