Problemas de rendimiento en los endpoints de Application control cuando falla la comunicación de GTI y de TIE

Artículos técnicos ID: KB86638
Última modificación: 2022-07-13 12:43:15 Etc/GMT

Entorno

Application and Change control (ACC) 8.x , 7.x6.x
Global Threat Intelligence (GTI)
Threat Intelligence Exchange (empate)

Resumen

Application control puede trabajar con varios orígenes para obtener información de reputación de archivos y certificados. La información de reputación le ayuda a tomar decisiones informadas sobre los archivos binarios y los certificados de su empresa, así como de definir de forma rápida directivas en el servidor de ePolicy Orchestrator (ePO).

En los endpoints, esta integración permite la ejecución basada en la reputación. Cuando se ejecuta un archivo en un Endpoint, el software obtiene su reputación y la reputación de todos los certificados asociados con el archivo para determinar si debe permitir o prohibir la ejecución del archivo. La configuración establecida para su empresa determina los valores de reputación que se permiten y prohíben. De forma predeterminada, Application control está configurado para funcionar con el servidor de TIE y el servicio de reputación de archivos de GTI para obtener información de reputación.

Problema

Se observan problemas de rendimiento en los endpoints cuando la comunicación de GTI o de EMPATEs falla con los endpoints. Si los endpoints informan del rendimiento degradado, busque los siguientes errores en Solidcore.log file :

GTI

Error 12002 --> ERROR_INTERNET_TIMEOUT : The request has timed out
ERROR: gti_http.c : 544: WinHttpReceiveResponse failed, err: 12002
ERROR: gti_http.c : 713: GTI: Request to get reputation from GTI failed, err: 112002
ERROR: gti_reputation.cpp: 196: gti_fetch_cert_reputation failed, err: 112002
12007 --> ERROR_INTERNET_NAME_NOT_RESOLVED : The server name could not be resolved
ERROR: gti_http.c : 528: GTI: WinHttpSendRequest failed, err: 12007
ERROR: gti_http.c : 713: GTI: Request to get reputation from GTI failed, err: 112007

TIE

ERROR: tie_transport.cpp: 1245: TIE: Request to get reputation from TIE timed-out, response not received in 2 sec, err: 11.

NOTE: Error 11 corresponds to the Data Exchange Layer (DXL) error: DXL_WAIT_TIMEOUT.

Si se produce un error en cinco solicitudes consecutivas al obtener la reputación de la perdedora, se muestra la siguiente entrada de registro:

SYSTEM: tie_transport.cpp: 84: TIE: setting the TIE state change timer, set TIE responsive on timer expiry.

Las siguientes entradas de registro se ven cuando se cambia el estado de empate a reaccionar tras el vencimiento del temporizador:

SYSTEM: tie_transport.cpp: 107: TIE: Setting TIE state RESPONSIVE
SYSTEM: tie_transport.cpp: 118: Successfully set TIE to RESPONSIVE

Err: 112029 es un error en cuanto a error al enviar un archivo al servidor de TIE mediante la API de Windows WinHttpSendRequest . Aparece en el solidcore.log archivo, similar al ejemplo siguiente. Un problema del cliente de DXL es la causa habitual de este error. Intente volver a instalar el cliente de DXL.

ERROR: tie_atd.cpp : 423: TIE: failed to send http header for file <filename> Err: 112029

Motivo

Existen varias causas posibles que pueden acarrear problemas de rendimiento en los endpoints cuando falla la comunicación de GTI y de TIE.

La Directiva que permite la comunicación con el servidor de GTI no está activada en el Endpoint.
El Endpoint no tiene acceso a Internet y no puede comunicarse con el servidor de GTI.
Consulte el artículo relacionado para obtener detalles KB79640-conexión con Global Threat Intelligence.
Relacionado con la Firewall (puertos bloqueados).
Relacionado con la red (pérdida de paquetes, tráfico excesivo).

Solución

Desactivar comprobación de reputación de archivos binarios:

PRECAUCIÓN: se recomienda encarecidamente investigar y solucionar las causas mencionadas anteriormente. A continuación, lleve a cabo los pasos siguientes para desactivar la comprobación de la reputación de archivos binarios. Considere la posibilidad de desactivar la comprobación de la reputación de archivos binarios solo como último recurso.

NOTAS:

Desactive la comprobación de reputación de archivos binarios mediante el servidor de TIE o el servicio GTI si los errores descritos en este artículo se registran con frecuencia en la solidcore.log .
De forma predeterminada, una directiva para activar ejecución basada en la reputación se aplica a todos los endpoints que ejecutan el cliente de Solidcore.
La configuración de la directiva indica cómo se comunican los endpoints con los orígenes de reputación configurados.

Para desactivar la comprobación de la reputación de archivos binarios, utilice el servidor de TIE o el servicio GTI para los endpoints:

Para sistemas gestionados:

Inicie sesión en la consola de ePO.
Seleccione menú, DirectivaCatálogo de directivas.
Seleccione el producto Solidcore 8.3.4 : Application control .
Seleccione la categoría Opciones de Application Control (Windows).
Haga clic en la directiva asignada y edítela.
En la pestaña reputación , en la sección reputación , revise los orígenes de reputación de TIE y GTI.
Especifique el origen de reputación. Puede utilizar el servidor de TIE, el servicio de GTI o ambos. Si utiliza ambos, el servidor de TIE sirve como origen de reputación principal. El servicio GTI actúa como origen alternativo que solo se utiliza cuando el servidor de TIE no está disponible.
Anule la selección de las dos opciones siguientes:
Utilizar Threat Intelligence Exchange (empate)
Global Threat Intelligence de uso del servidor(GTI)
Guarde la directiva.
Aplique la Directiva a los endpoints relevantes.

Para sistemas independientes, ejecute los siguientes comandos localmente en un símbolo del sistema de administrador:

Para ver todas las funciones de ACC y su estado, escriba el siguiente comando:

Run sadmin features list -d
Para desactivar la función de la reputación de TIE, escriba el comando:

sadmin features disable tie-reputation
Para desactivar la función reputación de GTI, escriba el comando:

sadmin features disable gti-reputation

Descargo de responsabilidad

El contenido de este artículo se creó en inglés. En caso de darse cualquier diferencia entre el contenido en inglés y su traducción, el primero siempre será el más preciso. La traducción de algunas partes de este contenido la ha proporcionado Microsoft mediante el uso de traducción automática.

Productos implicados

Idiomas:

Este artículo se encuentra disponible en los siguientes idiomas:

Knowledge Center

Problemas de rendimiento en los endpoints de Application control cuando falla la comunicación de GTI y de TIE

Entorno

Resumen

Problema

Motivo

Solución

Descargo de responsabilidad

Productos implicados

Idiomas:

Title

Title

Knowledge Center

Problemas de rendimiento en los endpoints de Application control cuando falla la comunicación de GTI y de TIE

Entorno

Resumen

Problema

Motivo

Solución

Descargo de responsabilidad

Productos implicados

Idiomas:

Wählen Sie Ihre Region

Title

Title