Contents

Introduction

Tabela de falhas do conector Linux de endpoint seguro

Introduction

O conector Cisco Secure Endpoint Linux pode notificá-lo de um evento de Aumento de Falhas quando detecta uma condição que afeta o funcionamento correto do conector. Da mesma forma, um evento Falha Limpa comunica que a condição não está mais presente.

Tabela de falhas do conector Linux de endpoint seguro

A tabela a seguir descreve as falhas e as etapas de diagnóstico correspondentes.

ID de falha

Descrição

Solução de problemas/resolução

5

Usuário do serviço de verificação indisponível

O conector não conseguiu criar um utilizador para executar o processo de análise de ficheiros. O conector funciona em torno disso usando o usuário raiz para executar a verificação de arquivos. Isso se afasta do projeto pretendido e não é esperado.

Se a Cisco-amp-scan-svc usuário ou grupo excluído, ou a configuração do usuário e do grupo foi alterada, reinstalar o conector recriará o usuário e o grupo com a configuração necessária. Mais detalhes estão disponíveis em /var/log/cisco/ampdaemon.log.

Se o cliente restringir a criação do grupo de usuários através das configurações em /etc/login.defs esse arquivo deve ser temporariamente alterado enquanto o instalador estiver em execução para permitir que o usuário e o grupo sejam criados. Isso pode ser feito alterando usergroups_de não para sim.

Essa falha pode ser gerada nos conectores Linux 1.15.1 e mais recente se outro programa modificou uma das permissões de diretório do conector (por exemplo, /opt/cisco ou um diretório filho). Para aliviar isso, a permissão de diretório alterada deve ser definida de volta ao padrão (por exemplo, 0755), assegure-se de que nenhum programa futuro modifique o diretório /opt/cisco (ou qualquer diretório filho) e reinicie o serviço de conexão.

6

Verificar a reinicialização do serviço com frequência

O processo de verificação de arquivos do conector encontrou falhas repetidas e o conector foi reiniciado na tentativa de eliminar a falha. É possível que um ou mais arquivos no sistema estejam causando o travamento do algoritmo de verificação quando digitalizado. O conector continua com as varreduras com base no melhor esforço.

Se essa falha não for automaticamente removida em 10 minutos após o conector ser iniciado, isso é uma indicação de que é necessária mais intervenção do usuário e a capacidade do conector de realizar verificações será prejudicada.

Consulte /var/log/cisco/ampdaemon.log e /var/log/cisco/ampscansvc.log para obter detalhes.

7

Falha ao iniciar o serviço de pesquisa

O processo de verificação de arquivos do conector não foi iniciado e o conector foi reiniciado na tentativa de eliminar a falha. A funcionalidade de análise de ficheiros está desativada enquanto esta falha é elevada.

Essa falha pode ser disparada se um erro for encontrado ao carregar arquivos de definição de vírus recém-instalados (arquivos .cvd). O conector executa várias verificações de integridade e estabilidade antes de ativar novos arquivos .cvd para evitar essa falha. Ao reiniciar, o conector removerá todos os arquivos .cvd inválidos para que o conector possa continuar.

Se essa falha não for removida quando o conector for reiniciado, isso é uma indicação de que é necessária mais intervenção do usuário. Se essa falha se repetir com cada atualização .cvd, isso é uma indicação de que um arquivo .cvd inválido não está sendo detectado corretamente pelas verificações de integridade do arquivo .cvd do conector.

Essa falha pode ser disparada nos conectores Linux se a máquina estiver com pouca memória disponível e o serviço de scanner não puder ser iniciado. Consulte o "Guia do usuário do Secure Endpoint (anteriormente AMP para endpoints)" para obter os requisitos mínimos de sistema no Linux.

Consulte /var/log/cisco/ampdaemon.log e /var/log/cisco/ampscansvc.log para obter detalhes.

8

Falha ao iniciar o monitor do sistema de arquivos em tempo real

O módulo kernel que fornece monitoração de atividade do sistema de arquivos em tempo real não foi carregado e a política do conector tem "Monitorar cópias e movimentos de arquivos" ativado. Essas funções de monitoramento não estão disponíveis no conector enquanto a falha é aumentada. Essa falha é gerada quando o conector Secure Endpoint não consegue carregar o módulo kernel subjacente necessário para o monitoramento da atividade do sistema de arquivos.

O UEFI Secure Boot deve ser desabilitado no sistema.

Se o Secure Boot estiver desativado, essa falha pode ser causada por uma incompatibilidade entre o módulo de kernel ampavflt ou ampfsm fornecido com o conector Secure Endpoint e o kernel do sistema ou outros módulos de kernel de terceiros instalados no sistema. Revise /var/log/messages para obter detalhes ou desative a monitoração de arquivos nas configurações de política do conector para eliminar essa falha.

A falha também pode ser causada ao executar uma versão do kernel que não é suportada pelo conector. Nesse caso, ele pode ser limpo criando um módulo de kernel de ampfsm personalizado para o kernel do sistema atual em execução. (Aplicável às versões 1.16.0 e mais recentes do conector Linux.) Para obter mais informações sobre como criar módulos de kernel personalizados, consulte: Criando módulos de kernel do conector Linux do Cisco Secure Endpoint

9

Falha ao iniciar o monitor de rede em tempo real

O módulo de kernel que fornece monitoração de atividade de rede em tempo real não foi carregado e a política de conector tem "Habilitar correlação de fluxo de dispositivo" ativado. Esta função de monitoramento não está disponível no conector enquanto esta falha é elevada. Essa falha é gerada quando o conector Secure Endpoint não consegue carregar o módulo kernel subjacente necessário para o monitoramento da atividade do sistema de arquivos.

O UEFI Secure Boot deve ser desabilitado no sistema.

Se o Secure Boot estiver desativado, essa falha pode ser causada por uma incompatibilidade entre o módulo de kernel ampavflt ou ampfsm fornecido com o conector Secure Endpoint e o kernel do sistema ou outros módulos de kernel de terceiros instalados no sistema. Revise /var/log/messages para obter detalhes ou desative a monitoração de arquivos nas configurações de política do conector para eliminar essa falha.

A falha também pode ser causada ao executar uma versão do kernel que não é suportada pelo conector. Nesse caso, ele pode ser limpo criando um módulo de kernel de ampfsm personalizado para o kernel do sistema atual em execução. (Aplicável às versões 1.16.0 e mais recentes do conector Linux.) Para obter mais informações sobre como criar módulos de kernel personalizados, consulte: Criando módulos de kernel do conector Linux do Cisco Secure Endpoint

11

O pacote de nível de kernel necessário está faltando

Para distribuições baseadas no Red Hat, o pacote de nível de kernel necessário para monitoração de atividades de rede e sistema de arquivos em tempo real está ausente e a política de conector tem "Monitorar cópias e movimentos de arquivos" ou "Ativar correlação de fluxo de dispositivo" habilitado. Essa falha é gerada quando o conector Secure Endpoint não consegue compilar e carregar o módulo eBPF subjacente necessário para o monitoramento da atividade do sistema de arquivos.

Instale o pacote com o kernel em execução e reinicie o conector, ou desative esses recursos na política para limpar essa falha. (Aplicável somente às versões 1.13.0 e mais recentes do conector Linux.)

Para o Oracle Linux UEK 6 e mais recente, o pacote kernel-uek é necessário para esses recursos. Instale o pacote kernel-uek-devel para o kernel em execução no momento e reinicie o conector ou desative esses recursos na política para limpar essa falha. (Aplicável somente às versões 1.18.0 e mais recentes do conector Linux.)

Para distribuições baseadas em Debian, o pacote linux-headers é necessário para esses recursos. Instale o pacote de cabeçalhos do linux para o kernel em execução no momento e reinicie o conector ou desative esses recursos na política para limpar essa falha. (Aplicável às versões 1.15.0 e mais recentes do conector Linux.)

Para obter mais informações, consulte: Falha de devel de kernel Linux

16

kernel incompatível

O kernel atualmente em execução não é compatível com o conector atualmente em execução e a política de conector tem "Monitorar cópias e movimentos de arquivos" ou "Ativar correlação de fluxo de dispositivo" ativado.

Faça o download do kernel para uma versão suportada ou atualize o conector para uma versão mais recente que suporte este kernel.

Para obter detalhes sobre as versões de kernel suportadas, consulte: Compatibilidade do SO do Cisco Secure Endpoint Linux Connector