Dela via


Förstå ATA-hälsoaviseringar

Gäller för: Advanced Threat Analytics version 1.9

ATA Health Center meddelar dig när det är problem med ATA-distributionen genom att skapa en hälsoavisering. Den här artikeln beskriver alla hälsoaviseringar för varje komponent och visar orsaken och de steg som krävs för att lösa problemet.

PROBLEM med ATA Center

Center får slut på diskutrymme

Varning Beskrivning Åtgärd Allvarlighetsgrad
Det lediga utrymmet på ATA Center-datorenheten som används för att lagra ATA-databasen börjar bli lågt. Det innebär att hårddisken har mindre än 200 GB ledigt utrymme eller att det finns mindre än 20 % ledigt utrymme, beroende på vilket som är mindre. När ATA identifierar att enheten har ont om utrymme börjar den ta bort gamla data från databasen. Om det inte går att ta bort gamla data eftersom de fortfarande behöver data för identifieringsmotorn får du den här aviseringen. När du får den här aviseringen slutar ATA att hålla reda på nya aktiviteter. Öka enhetens storlek eller frigör utrymme från enheten. Högsta

Det gick inte att skicka e-post

Varning Beskrivning Åtgärd Allvarlighetsgrad
ATA kunde inte skicka ett e-postmeddelande till den angivna e-postservern. Inga e-postmeddelanden skickas från ATA. Kontrollera SMTP-serverkonfigurationen. Låg

Centeröverlagrade

Varning Beskrivning Åtgärd Allvarlighetsgrad
ATA Center kan inte hantera mängden data som överförs från ATA-gatewayerna. ATA Center slutar analysera ny nätverkstrafik och händelser. Det innebär att noggrannheten för identifieringarna och profilerna minskas medan den här hälsoaviseringen är aktiv. Se till att du har angett tillräckligt med resurser för ATA Center. Mer information om hur du planerar för ATA Center-kapacitet finns i ATA-kapacitetsplanering. Undersök prestanda för ATA Center med hjälp av felsökning av ATA med hjälp av prestandaräknarna. Högsta

Det gick inte att ansluta till SIEM-servern med syslog

Varning Beskrivning Åtgärd Allvarlighetsgrad
ATA kunde inte skicka händelser till angiven SIEM. Det innebär att ATA Center inte kan skicka misstänkta aktiviteter och hälsoaviseringar till SIEM. Kontrollera att syslog-serverinställningarna är korrekt konfigurerade. Låg

Mittcertifikatet upphör snart att gälla

Varning Beskrivning Åtgärd Allvarlighetsgrad
ATA Center-certifikatet upphör att gälla om mindre än tre veckor. När certifikatet har upphört att gälla: Anslutningen från ATA-gatewayer till ATA Center misslyckas. ATA Center-processen kraschar och alla ATA-funktioner stoppas. Ersätt ATA Center-certifikatet Medel

ATA Center-certifikatet har upphört att gälla

Varning Beskrivning Åtgärd Allvarlighetsgrad
ATA Center-certifikatet har upphört att gälla. När certifikatet har upphört att gälla: Anslutningen från ATA-gatewayerna till ATA Center misslyckas. ATA Center-processen kraschar och alla ATA-funktioner stoppas. Distribuera om ATA Center Högsta

PROBLEM med ATA Gateway

Skrivskyddat användarlösenord upphör snart att gälla

Varning Beskrivning Åtgärd Allvarlighetsgrad
Det skrivskyddade användarlösenordet, som används för att lösa entiteter mot Active Directory, upphör snart att gälla om mindre än 30 dagar. Om lösenordet för den här användaren upphör att gälla slutar alla ATA-gatewayer att köras och inga nya data samlas in. Ändra lösenordet för domänanslutningen och uppdatera lösenordet i ATA-konsolen. Medel

Skrivskyddat användarlösenord har upphört att gälla

Varning Beskrivning Åtgärd Allvarlighetsgrad
Det skrivskyddade användarlösenordet som används för att hämta katalogdata har upphört att gälla. Alla ATA-gatewayer slutar att köras (eller kommer att sluta köras snart) och inga nya data samlas in. Ändra lösenordet för domänanslutningen och uppdatera lösenordet i ATA-konsolen. Högsta

Gatewaycertifikatet upphör snart att gälla

Varning Beskrivning Åtgärd Allvarlighetsgrad
ATA Gateway-certifikatet upphör att gälla om mindre än tre veckor. Anslutningen från den specifika ATA-gatewayen till ATA Center misslyckas. Inga data från ata-gatewayen skickas. ATA Gateway-certifikatet bör ha förnyats automatiskt. Läs ATA Gateway- och ATA Center-loggarna för att förstå varför certifikatet inte förnyades automatiskt. Medel

Gatewaycertifikatet har upphört att gälla

Varning Beskrivning Åtgärd Allvarlighetsgrad
ATA Gateway-certifikatet har upphört att gälla. Det finns ingen anslutning från denna ATA Gateway till ATA Center. Inga data från ata-gatewayen skickas. Avinstallera och installera om ATA Gateway. Högsta

Domänsynkronisering har inte tilldelats

Varning Beskrivning Åtgärd Allvarlighetsgrad
Ingen domänsynkronisering har tilldelats någon ATA Gateway. Detta kan inträffa om det inte finns någon ATA Gateway konfigurerad som kandidat för domänsynkronisering. Om domänen inte synkroniseras kan ändringar i entiteter göra att entitetsinformationen i ATA blir inaktuell eller saknas, men den påverkar inte identifieringen. Kontrollera att minst en ATA Gateway har angetts som en domänsynkronisering. Låg

Alla/vissa av de infångade nätverkskorten på en gateway är inte tillgängliga

Varning Beskrivning Åtgärd Allvarlighetsgrad
Alla/vissa av de valda avbildningsnätverkskorten på ATA Gateway är inaktiverade eller frånkopplade. Nätverkstrafik för vissa/alla domänkontrollanter registreras inte längre av ATA Gateway. Detta påverkar möjligheten att identifiera misstänkta aktiviteter som är relaterade till dessa domänkontrollanter. Kontrollera att de valda avbildningsnätverkskorten på ATA Gateway är aktiverade och anslutna. Medel

Vissa domänkontrollanter kan inte nås av en gateway

Varning Beskrivning Åtgärd Allvarlighetsgrad
En ATA Gateway har begränsade funktioner på grund av anslutningsproblem för några av de konfigurerade domänkontrollanterna. Skicka Hash-identifieringen kan vara mindre exakt när vissa domänkontrollanter inte kan frågas av ATA Gateway. Kontrollera att domänkontrollanterna är igång och att ata-gatewayen kan öppna LDAP-anslutningar till dem. Medel

Alla domänkontrollanter kan inte nås av en gateway

Varning Beskrivning Åtgärd Allvarlighetsgrad
ATA Gateway är för närvarande offline på grund av anslutningsproblem för alla konfigurerade domänkontrollanter. Detta påverkar ATA:s möjlighet att identifiera misstänkta aktiviteter relaterade till domänkontrollanter som övervakas av denna ATA Gateway. Kontrollera att domänkontrollanterna är igång och att ata-gatewayen kan öppna LDAP-anslutningar till dem. Medel

Gatewayen slutade kommunicera

Varning Beskrivning Åtgärd Allvarlighetsgrad
Det har inte förekommit någon kommunikation från ATA Gateway. Standardtidsintervallet för den här aviseringen är 5 minuter. Nätverkstrafiken registreras inte längre av nätverkskortet på ATA Gateway. Detta påverkar ATA:s förmåga att identifiera misstänkta aktiviteter, eftersom nätverkstrafiken inte kommer att kunna nå ATA Center. Kontrollera att porten som används för kommunikationen mellan ATA Gateway och ATA Center-tjänsten inte blockeras av några routrar eller brandväggar. Medel

Ingen trafik har tagits emot från domänkontrollanten

Varning Beskrivning Åtgärd Allvarlighetsgrad
Ingen trafik togs emot från domänkontrollanten via den här ATA-gatewayen. Detta kan tyda på att portspegling från domänkontrollanterna till ATA Gateway inte har konfigurerats ännu eller inte fungerar. Kontrollera att portspegling har konfigurerats korrekt på dina nätverksenheter.

Inaktivera dessa funktioner i Avancerade inställningar på ATA Gateway Capture NIC:

Sammankoppling av mottagarsegment (IPv4)

Sammankoppling av mottagarsegment (IPv6)
Medel

Vissa vidarebefordrade händelser analyseras inte

Varning Beskrivning Åtgärd Allvarlighetsgrad
ATA Gateway tar emot fler händelser än den kan bearbeta. Vissa vidarebefordrade händelser analyseras inte, vilket kan påverka möjligheten att identifiera misstänkta aktiviteter som kommer från domänkontrollanter som övervakas av denna ATA Gateway. Kontrollera att endast nödvändiga händelser vidarebefordras till ATA Gateway eller försök att vidarebefordra några av händelserna till en annan ATA Gateway. Medel

En del nätverkstrafik analyseras inte

Varning Beskrivning Åtgärd Allvarlighetsgrad
ATA Gateway tar emot mer nätverkstrafik än den kan bearbeta. En del nätverkstrafik analyseras inte, vilket kan påverka möjligheten att identifiera misstänkta aktiviteter som kommer från domänkontrollanter som övervakas av denna ATA Gateway. Överväg att lägga till ytterligare processorer och minne efter behov. Om det här är en fristående ATA Gateway minskar du antalet domänkontrollanter som övervakas.

Detta kan också inträffa om du använder domänkontrollanter på virtuella VMware-datorer. För att undvika dessa aviseringar kan du kontrollera att följande inställningar är inställda på 0 eller Inaktiverade på den virtuella datorn:

- TsoEnable

– LargeSendOffload(IPv4)

– IPv4 TSO-avlastning

Överväg också att inaktivera IPv4 Giant TSO Offload. Mer information finns i VMware-dokumentationen.
Medel

Gatewayversionen är inaktuell

Varning Beskrivning Åtgärd Allvarlighetsgrad
ATA Center är nyare än den version som är installerad på ATA Gateway. Detta gör att ATA Gateway slutar fungera som förväntat. Detta kan påverka möjligheten att identifiera misstänkta aktiviteter som kommer från domänkontrollanter som övervakas av denna ATA Gateway. Uppdatera ATA Gateway till den senaste versionen automatiskt genom att aktivera automatisk uppdatering i ATA-konsolen eller genom att ladda ned det senaste ATA Gateway-paketet som är tillgängligt i ATA-konsolen. Högsta

Gatewaytjänsten kunde inte starta

Varning Beskrivning Åtgärd Allvarlighetsgrad
ATA Gateway-tjänsten kunde inte starta i minst 30 minuter. Detta kan påverka möjligheten att identifiera misstänkta aktiviteter som kommer från domänkontrollanter som övervakas av denna ATA Gateway. Övervaka ATA Gateway-loggar för att förstå rotorsaken till fel i ATA Gateway-tjänsten. Högsta

Lightweight Gateway

Lightweight Gateway har nått en minnesresursgräns

Varning Beskrivning Åtgärd Allvarlighetsgrad
Lightweight ATA Gateway stoppade sig själv och startas om automatiskt för att skydda domänkontrollanten från ett låg minnestillstånd. Lightweight ATA Gateway tillämpar minnesbegränsningar på sig själv för att förhindra att domänkontrollanten upplever resursbegränsningar. Detta inträffar när minnesanvändningen på domänkontrollanten är hög. Data från den här domänkontrollanten övervakas endast delvis. Öka mängden minne (RAM) på domänkontrollanten eller lägg till fler domänkontrollanter på den här webbplatsen för att bättre fördela belastningen på den här domänkontrollanten. Medel

Se även