排查安全終端Linux聯結器故障

簡介

本文檔介紹Linux聯結器在檢測到/解決影響正常運行的條件時引發/清除以通知的故障。

安全終端Linux聯結器故障

錯誤5：掃描服務使用者不可用

條件

聯結器未能建立cisco-amp-scan-svc使用者以運行檔案掃描進程。解決方法是，聯結器已退回到使用root使用者來執行檔案掃描。這偏離了預期的設計，必須加以更正。

解析

1. 如果cisco-amp-scan-svc使用者或組已刪除或已修改其配置，請重新安裝聯結器以重新建立具有必要配置的使用者和組。有關詳細資訊，請參閱/var/log/cisco/ampdaemon.log。
2. 如果透過/etc/login.defs中的設定限制使用者/組的建立，則在Linux聯結器安裝程式運行時，必須臨時更改此檔案，以允許建立cisco-amp-scan-svc使用者和組。為此，請將/etc/login.defs中的USERGROUPS_ENAB從「no」更改為「yes」。
3. 如果另一個程式修改了聯結器的某個目錄許可權(例如/opt/cisco或子目錄)，請將目錄許可權重新設定為預設值（即0755）。確保將來的程式不會修改/opt/cisco目錄或其任何子目錄，然後重新啟動聯結器服務。

---

錯誤6：掃描服務經常重新啟動

條件

聯結器檔案掃描進程遇到反覆的故障，聯結器已重新啟動以嘗試清除故障。聯結器將繼續盡力掃描。

解析

系統上的一個或多個檔案可能在掃描時導致掃描演算法崩潰。如果聯結器重新啟動後10分鐘內未自動清除此故障，則需要進一步檢查。聯結器執行掃描的能力將會降低，直到問題解決為止。

有關詳細資訊，請參閱/var/log/cisco/ampdaemon.log和/var/log/cisco/ampscansvc.log。

---

錯誤7：掃描服務無法啟動

條件

聯結器檔案掃描程式無法啟動，聯結器已重新啟動以嘗試清除失敗。發生此故障時，檔案掃描被停用。

解析

如果在載入新安裝的病毒定義檔案(.cvd檔案)時遇到錯誤，可能會觸發此故障。在啟用新的.cvd檔案之前，聯結器會執行許多完整性和穩定性檢查，以防止出現此故障。重新啟動後，聯結器將刪除所有無效的.cvd檔案，以便聯結器可以恢復。

1. 如果重新啟動聯結器後未清除此故障，則需要進一步使用者干預。如果每次.cvd更新時此故障重複，則聯結器的.cvd檔案完整性檢查不會正確檢測無效的.cvd檔案。
2. 如果電腦的可用記憶體不足，則掃描器服務可能無法啟動。請參閱《安全終端使用手冊》中的「Linux系統要求」以及《安全終端使用手冊》。

請檢視/var/log/cisco/ampdaemon.log和/var/log/cisco/ampscansvc.log瞭解詳細資訊。

---

故障8：即時檔案系統監控器無法啟動

條件

當聯結器策略啟用了「監視檔案副本和移動」時，聯結器無法載入檔案系統活動監視所需的底層核心模組。發生此故障時，無法使用檔案系統監視。

解析

1. 在系統上停用UEFI安全引導。
2. 如果停用Secure Boot，則可能是因為隨聯結器提供的ampfsm核心模組與系統上安裝的系統核心或其他第三方核心模組之間不相容而導致的。有關詳細資訊，請參閱/var/log/messages。
3. 如果聯結器在不支援的核心版本上執行，請安裝支援的核心版本，或為目前執行中的系統核心建置自訂ampfsm核心模組。有關詳細資訊，請參閱構建Cisco安全終端Linux聯結器核心模組。

---

故障9：即時網路監控器無法啟動

條件

當聯結器策略啟用「啟用裝置流關聯」時，聯結器無法載入網路活動監視所需的底層核心模組。發生此故障時，網路監控不可用。

解析

1. 在系統上停用UEFI安全引導。
2. 如果停用Secure Boot，則可能是因為隨聯結器提供的ampnetworkflow核心模組與系統上安裝的系統核心或其他第三方核心模組之間不相容而導致的。有關詳細資訊，請參閱/var/log/messages。
3. 如果聯結器在不支援的核心版本上執行，請安裝支援的核心版本，或為目前執行中的系統核心建置自訂ampnetworkflow核心模組。有關詳細資訊，請參閱構建Cisco安全終端Linux聯結器核心模組。

---

錯誤11：遺漏必要的核心層級套件

條件

聯結器要求下列其中一項是有效的：

1. 當前核心已啟用CONFIG_DEBUG_INFO_BTF，或
2. 安裝了正確的核心報頭軟體套件以監視檔案系統和網路事件。

如果這兩個條件都不符合，則會引發此故障，並且聯結器將監視降級模式下的檔案系統和網路事件。

解析

1. 升級您的核心並重新啟動聯結器。這是首選解決方案。
2. 如果錯誤仍然存在，請安裝遺失的核心標頭套件：
   1. 對於基於RPM的分發版，請安裝核心級的軟體套件。
   2. 若為Oracle Linux UEK發行版本，請安裝核心層級套裝程式。
   3. 對於基於Debian的分發，請安裝linux-headers軟體套件。
   4. 對於SUSE發行版本，請安裝kernel-default-devely軟體套件。

有關詳細資訊，請參閱排查Secure Endpoint Linux聯結器故障11故障。

---

錯誤16：不相容的核心

條件

聯結器與當前運行的聯結器不相容，並且聯結器策略已啟用「監視檔案副本和移動」或「啟用裝置流關聯」。

解析

將核心降級到支援的版本，或將聯結器升級到支援此核心的較新版本。

請參閱Linux系統要求獲取有關受支援的核心版本的更多詳細資訊。

---

錯誤18：聯結器事件監視超載

條件

由於系統事件數量太多，聯結器負載過重。系統保護受到限制，聯結器將監控較少的系統關鍵事件，直到整體系統活動減少。

解析

此故障可能是惡意系統活動或系統上非常活躍的應用程式的指示。

1. 如果活動應用程式是良性的且受使用者信任，則可以將它增加到進程排除集中，以減少聯結器上的監視負載。此動作足以清除錯誤。
2. 如果沒有良性進程導致負載過重，則需要進行一些調查以確定活動增加是否由惡意進程引起。
3. 如果接頭在短期的重負載下，則此故障可能會自行清除。
4. 如果頻繁發生此故障，則不會出現導致負載過重的良性進程，並且不會發現惡意進程，則需要重新調配系統來處理負載過重的進程。

有關詳細資訊，請參閱排查安全終端Mac/Linux聯結器故障18故障。

---

故障19：SELinux策略丟失或停用

條件

系統上的Secure Enterprise Linux (SELinux)策略阻止聯結器監視系統活動。

如果SELinux處於啟用和執行模式，則聯結器在SELinux策略中需要以下規則：

allow unconfined_service_t self:bpf { map_create map_read map_write prog_load prog_run };

在基於Enterprise Linux的系統上，此規則不在預設的SELinux策略中。在安裝或升級期間，聯結器將嘗試透過安裝名為cisco-secure-bpf的SELinux策略模組來增加此規則。如果cisco-secure-bpf無法安裝和載入或已停用，則會引發此故障。

解析

要解決此故障，請確保已安裝policycoreutils-python系統軟體套件。然後：

1. 重新安裝或升級聯結器以觸發安裝cisco-secure-bpf，或者
2. 手動將該規則增加到現有SELinux策略並重新啟動聯結器。

有關透過修改SELinux策略來解決此故障的詳細資訊，請參閱SELinux策略故障。