Contents

Introduction

Background

Prerequisites

Requirements

Componentes Utilizados

Problema

Verifique o problema na GUI da Web

Verifique o problema na CLI

Solução

Informações Relacionadas

Introduction

Este documento descreve como solucionar problemas com atualizações do Security Intelligence Feed.

Background

O Security Intelligence Feed é composto de várias listas atualizadas regularmente de endereços IP com reputação ruim, conforme determinado pelo Cisco Talos Security Intelligence and Research Group (Talos). É importante manter o feed de inteligência atualizado regularmente para que um Cisco Firepower System possa usar informações atualizadas para filtrar o tráfego de rede.

Prerequisites

Requirements

A Cisco recomenda que você tenha conhecimento destes tópicos:

- Cisco Firepower Management Center

- Feed de inteligência de segurança

Componentes Utilizados

As informações neste documento são baseadas em um Cisco Firepower Management Center que executa o software versão 5.2 ou posterior.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Problema

Ocorre uma falha de atualização do Security Intelligence Feed. Você pode verificar a falha pela GUI da Web ou pela CLI (explicada mais adiante nas seções a seguir).

Verifique o problema na GUI da Web

Quando ocorre uma falha de atualização do Security Intelligence Feed, o Firepower Management Center exibe alertas de integridade.

Verifique o problema na CLI

Para determinar a causa raiz de uma falha de atualização com o Security Intelligence Feed, insira este comando na CLI do Firepower Management Center:

admin@Sourcefire3D:~$ cat /var/log/messages

Procure um destes avisos nas mensagens:

Sourcefire3D SF-IMS[2004]: [2011] CloudAgent:IPReputation [WARN] Cannot download

Sourcefire_Intelligence_Feed

Sourcefire3D SF-IMS[24085]: [24090] CloudAgent:IPReputation [WARN] Download

unsucessful: Failure when receiving data from the peer

Solução

Conclua estes passos para fazer o troubleshooting do problema:

1. Verifique se o comando intelligence.sourcefire.com o site está ativo. Navegue até https://intelligence.sourcefire.comem um navegador.

2. Acesse o CLI do Firepower Management Center pelo Secure Shell (SSH).

3. Ping intelligence.sourcefire.com no Firepower Management Center:

admin@Sourcefire3D:~$ sudo ping intelligence.sourcefire.verifyyou receive an output similar to this:

64 bytes from x (xxx.xxx.xx.x): icmp_req=1 ttl=244 time=4.05 ifyou do not receive a response similar to that shown, then you can have an outbound connectivity issue, or you do not have a route to intelligence.sourcefire.com.

4. Resolver o nome de host para intelligence.sourcefire.com:

admin@Firepower:~$ sudo nslookup intelligence.sourcefire.com
Verifique se você recebeu uma resposta semelhante a esta:

Server: 8.8.8.8

Address: 8.8.8.8#53

Name: intelligence.sourcefire.com

Address: xxx.xxx.xx.x

Observação: a saída mencionada acima usa o servidor do sistema de nome de domínio público (DNS) do Google como exemplo. A saída depende das configurações de DNS definidas em System > Local > Configuration, no Network seção. Se você não receber uma resposta semelhante à exibida, verifique se as configurações DNS estão corretas.

Cuidado: o servidor usa um esquema de endereço IP de rodízio para balanceamento de carga, tolerância a falhas e tempo de atividade. Portanto, os endereços IP podem mudar e a Cisco recomenda que o firewall seja configurado com um CNAME em vez de um endereço IP.

5. Verificar a conectividade com intelligence.sourcefire.com com o uso do Telnet:

admin@Firepower:~$ sudo telnet intelligence.sourcefire.com 443
Verifique se você recebeu uma saída semelhante a esta:

Trying xxx.xxx.xx.x...

Connected to intelligence.sourcefire.com.

Escape character is '^]'.

Observação: se você conseguir concluir a segunda etapa com êxito, mas não conseguir executar telnet para intelligence.sourcefire.com pela porta 443, você pode ter uma regra de firewall que bloqueia a porta 443 de saída para intelligence.sourcefire.com.

6. Navegue até System > Local > Configuration e verifique as configurações de proxy do Manual Proxy configuração sob o comando Network seção.

Observação: se este proxy fizer uma inspeção SSL, você deverá colocar em vigor uma regra de desvio que ignore o proxy para intelligence.sourcefire.com.

7. Teste se você pode executar um HTTP GET solicitação contra intelligence.sourcefire.com:

admin@Firepower:~sudo curl -vvk https://intelligence.sourcefire.com

* About to connect() to intelligence.sourcefire.com port 443 (#0)

*   Trying 198.148.79.58...

* Adding handle: conn: 0xec5630

* Adding handle: send: 0

* Adding handle: recv: 0

* Curl_addHandleToPipeline: length: 1

* - Conn 0 (0xec5630) send_pipe: 1, recv_pipe: 0

* Connected to intelligence.sourcefire.com (198.148.79.58) port 443 (#0)

* SSLv3, TLS handshake, Client hello (1):

* SSLv3, TLS handshake, Server hello (2):

* SSLv3, TLS handshake, CERT (11):

* SSLv3, TLS handshake, Server key exchange (12):

* SSLv3, TLS handshake, Server finished (14):

* SSLv3, TLS handshake, Client key exchange (16):

* SSLv3, TLS change cipher, Client hello (1):

* SSLv3, TLS handshake, Finished (20):

* SSLv3, TLS change cipher, Client hello (1):

* SSLv3, TLS handshake, Finished (20):

* SSL connection using DHE-RSA-AES256-SHA

* Server certificate:

*   subject: O=Sourcefire Inc.; OU=VRT Department of Intelligence;

emailAddress=vrt-systems@sourcefire.com; L=Columbia; ST=MD; C=US;

CN=intelligence.sourcefire.com

*   start date: 2016-02-29 22:50:29 GMT

*   expire date: 2019-02-28 22:50:29 GMT

*   issuer: O=Sourcefire Inc.; OU=VRT Department of Intelligence;

emailAddress=vrt-systems@sourcefire.com; L=Columbia; ST=MD; C=US;

CN=intelligence.sourcefire.com; nsCaRevocationUrl=

https://intelligence.sourcefire.com/vrtca.crl

*   SSL certificate verify result: unable to get local issuer certificate

(20), continuing anyway.

> GET / HTTP/1.1

> User-Agent: curl/7.31.0

> Host: intelligence.sourcefire.com

> Accept: */*

>

< HTTP/1.1 200 OK

< Date: Tue, 01 Mar 2016 13:06:16 GMT

* Server Apache is not blacklisted

< Server: Apache

< Last-Modified: Tue, 09 Dec 2014 20:08:06 GMT

< ETag: "9da27-3-509ce19e67580"

< Accept-Ranges: bytes

< Content-Length: 3

< Content-Type: text/html

<

:)

* Connection #0 to host intelligence.sourcefire.com left intact

Observação: o rosto sorridente no final do curl indica uma conexão bem-sucedida.

Observação: se você usar um proxy, o curl requer um nome de usuário. O comando é curl -U <user> -vk https://intelligence.sourcefire.com. Além disso, depois de inserir o comando, você será solicitado a inserir a senha do proxy.

8. Verifique se o tráfego HTTPS usado para baixar o feed Security Intelligence não passa por um descriptografador SSL. Para verificar se não ocorre descriptografia SSL, valide as informações do certificado do servidor na saída da etapa 6. Se o certificado do servidor não corresponder ao que é exibido no exemplo a seguir, você poderá ter um descriptografador SSL que renuncia ao certificado. Se o tráfego passar por um descriptografador SSL, você deverá ignorar todo o tráfego que vai para o intelligence.sourcefire.com.

admin@Firepower:~$ sudo curl -vvk https://intelligence.sourcefire.com

* About to connect() to intelligence.sourcefire.com port 443 (#0)

*   Trying 198.148.79.58...

* Adding handle: conn: 0xec5630

* Adding handle: send: 0

* Adding handle: recv: 0

* Curl_addHandleToPipeline: length: 1

* - Conn 0 (0xec5630) send_pipe: 1, recv_pipe: 0

* Connected to intelligence.sourcefire.com (198.148.79.58) port 443 (#0)

* SSLv3, TLS handshake, Client hello (1):

* SSLv3, TLS handshake, Server hello (2):

* SSLv3, TLS handshake, CERT (11):

* SSLv3, TLS handshake, Server key exchange (12):

* SSLv3, TLS handshake, Server finished (14):

* SSLv3, TLS handshake, Client key exchange (16):

* SSLv3, TLS change cipher, Client hello (1):

* SSLv3, TLS handshake, Finished (20):

* SSLv3, TLS change cipher, Client hello (1):

* SSLv3, TLS handshake, Finished (20):

* SSL connection using DHE-RSA-AES256-SHA

* Server certificate:

*   subject: O=Sourcefire Inc.; OU=VRT Department of Intelligence;

emailAddress=vrt-systems@sourcefire.com; L=Columbia; ST=MD; C=US;

CN=intelligence.sourcefire.com

*   start date: 2016-02-29 22:50:29 GMT

*   expire date: 2019-02-28 22:50:29 GMT

*   issuer: O=Sourcefire Inc.; OU=VRT Department of Intelligence;

emailAddress=vrt-systems@sourcefire.com; L=Columbia; ST=MD; C=US;

CN=intelligence.sourcefire.com; nsCaRevocationUrl=

https://intelligence.sourcefire.com/vrtca.crl

*   SSL certificate verify result: unable to get local issuer certificate

(20), continuing anyway.

> GET / HTTP/1.1

> User-Agent: curl/7.31.0

> Host: intelligence.sourcefire.com

> Accept: */*

>

< HTTP/1.1 200 OK

< Date: Tue, 01 Mar 2016 13:06:16 GMT

* Server Apache is not blacklisted

< Server: Apache

< Last-Modified: Tue, 09 Dec 2014 20:08:06 GMT

< ETag: "9da27-3-509ce19e67580"

< Accept-Ranges: bytes

< Content-Length: 3

< Content-Type: text/html

<

:)

* Connection #0 to host intelligence.sourcefire.com left intact

Observação: a descriptografia SSL deve ser ignorada para o Security Intelligence Feed porque o descriptografador SSL envia ao Firepower Management Center um certificado desconhecido no handshake SSL. O certificado enviado ao Firepower Management Center não está assinado por uma CA confiável da Sourcefire, portanto, a conexão não é confiável.

Informações Relacionadas

- Automatic Falha de atualização de download em um Firepower Management Center

- Endereços de servidor necessários para operações de proteção avançada contra malware (AMP)

- Portas de comunicação necessárias para a operação do sistema Firepower

- Suporte Técnico e Documentação - Cisco Systems