Problemi di prestazioni sugli endpoint di controllo delle applicazioni quando la comunicazione GTI e TIE non riesce

Articoli tecnici ID: KB86638
Ultima modifica: 2022-07-13 12:43:13 Etc/GMT

Ambiente

Controllo delle modifiche e delle applicazioni (ACC) 8.x , 7.x , 6.x
Global Threat Intelligence (GTI)
Threat Intelligence Exchange (TIE)

Riepilogo

Application Control può lavorare con più origini per recuperare le informazioni sulla reputazione di file e certificati. Le informazioni sulla reputazione consentono di prendere decisioni informate sui file binari e sui certificati all'interno dell'azienda e consentono di definire rapidamente le policy sul server di ePolicy Orchestrator (ePO).

Negli endpoint, questa integrazione consente l'esecuzione basata sulla reputazione. Quando si esegue un file in un endpoint, il software recupera la reputazione e la reputazione di tutti i certificati associati al file per determinare se consentire o escludere l'esecuzione del file. Le impostazioni configurate per l'azienda determinano i valori di reputazione consentiti e esclusi. Per impostazione predefinita, Application Control è configurato in modo che funzioni con il server TIE e il servizio di reputazione dei file GTI per recuperare le informazioni sulla reputazione.

Problema

I problemi di prestazioni vengono osservati sugli endpoint quando la comunicazione GTI o TIE non riesce con gli endpoint. Se gli endpoint segnalano prestazioni degradate, cercare i seguenti errori nel campo Solidcore.log file :

GTI

Error 12002 --> ERROR_INTERNET_TIMEOUT : The request has timed out
ERROR: gti_http.c : 544: WinHttpReceiveResponse failed, err: 12002
ERROR: gti_http.c : 713: GTI: Request to get reputation from GTI failed, err: 112002
ERROR: gti_reputation.cpp: 196: gti_fetch_cert_reputation failed, err: 112002
12007 --> ERROR_INTERNET_NAME_NOT_RESOLVED : The server name could not be resolved
ERROR: gti_http.c : 528: GTI: WinHttpSendRequest failed, err: 12007
ERROR: gti_http.c : 713: GTI: Request to get reputation from GTI failed, err: 112007

TIE

ERROR: tie_transport.cpp: 1245: TIE: Request to get reputation from TIE timed-out, response not received in 2 sec, err: 11.

NOTE: Error 11 corresponds to the Data Exchange Layer (DXL) error: DXL_WAIT_TIMEOUT.

Se cinque richieste consecutive non riescono a ottenere la reputazione da TIE, viene visualizzata la seguente voce di registro:

SYSTEM: tie_transport.cpp: 84: TIE: setting the TIE state change timer, set TIE responsive on timer expiry.

Le voci di registro riportate di seguito vengono visualizzate quando lo stato TIE viene modificato in reattivo dopo la scadenza del timer:

SYSTEM: tie_transport.cpp: 107: TIE: Setting TIE state RESPONSIVE
SYSTEM: tie_transport.cpp: 118: Successfully set TIE to RESPONSIVE

Err: 112029 errore relativo all'omissione di inviare un file al server TIE utilizzando l'API Windows WinHttpSendRequest . Viene visualizzato nel solidcore.log file, simile all'esempio riportato di seguito. Un problema del client DXL è la causa usuale di questo errore. Provare a reinstallare il client DXL.

ERROR: tie_atd.cpp : 423: TIE: failed to send http header for file <filename> Err: 112029

Causa

Esistono diverse cause possibili che possono causare problemi di prestazioni sugli endpoint quando la comunicazione GTI e TIE non riesce.

La policy che consente la comunicazione con il server GTI non è attivata sull'endpoint.
L'endpoint non dispone dell'accesso a Internet e non è in grado di comunicare con il server GTI.
Per informazioni dettagliate, consultare l'articolo relativo a KB79640-connessione a Global Threat Intelligence.
Correlati al firewall (porte bloccate).
Correlati alla rete (perdita di pacchetti, traffico eccessivo).

Soluzione

Disattivazione del controllo della reputazione dei file binari:

Attenzione: si consiglia di indagare e risolvere innanzitutto le cause sopra citate. Quindi, attenersi alla procedura riportata di seguito per disattivare il controllo della reputazione dei file binari. Prendere in considerazione la disattivazione del controllo della reputazione dei file binari solo come ultima risorsa.

NOTE:

Disattivare il controllo della reputazione dei file binari utilizzando il server TIE o il servizio GTI se gli errori descritti in questo articolo vengono spesso registrati nel solidcore.log .
Per impostazione predefinita, una policy per attivare l'esecuzione basata sulla reputazione viene applicato a tutti gli endpoint che eseguono il client solidcore.
Le impostazioni della policy indicano il modo in cui gli endpoint comunicano con le origini della reputazione configurate.

Per disattivare il controllo della reputazione dei file binari, utilizzare il server TIE o il servizio GTI per gli endpoint:

Per i sistemi gestiti:

Accedere alla console di ePO.
Selezionare menu, policy, Catalogo delle policy.
Selezionare il prodotto solidcore 8.3.4 : Application Control .
Selezionare la categoria Opzioni di controllo applicazioni (Windows) .
Fare clic sulla policy assegnata e modificarla.
Nella scheda reputazione, nella sezionereputazione , esaminare le origini reputazione di Tie e GTI.
Specificare l'origine reputazione. È possibile utilizzare il server TIE, il servizio GTI o entrambi. Se si utilizzano entrambi, il server TIE funge da origine di reputazione principale. Il servizio GTI funge da origine alternativa utilizzata solo quando il server TIE non è disponibile.
Deselezionare entrambe le opzioni riportate di seguito: USA Global Threat Intelligence di utilizzo del
server Threat Intelligence Exchange (tie)
(GTI)
Salvare il policy.
Applicare il policy agli endpoint pertinenti.

Per i sistemi autonomi, eseguire i comandi di seguito in locale al prompt dei comandi amministratore:

Per elencare tutte le funzioni ACC e il relativo stato, digitare il comando:

Run sadmin features list -d
Per disattivare la funzione di reputazione TIE, digitare il comando:

sadmin features disable tie-reputation
Per disattivare la funzionalità di reputazione GTI, digitare il comando:

sadmin features disable gti-reputation

Dichiarazione di non responsabilità

Il contenuto di questo articolo è stato scritto in inglese. In caso di differenze tra il contenuto in inglese e la traduzione, fare sempre riferimento al contenuto in iglese. Parte del contenuto è stata tradotta con gli strumenti di traduzione automatica di Microsoft.

Prodotti interessati

Lingue:

Questo articolo è disponibile nelle seguenti lingue:

Knowledge Center

Problemi di prestazioni sugli endpoint di controllo delle applicazioni quando la comunicazione GTI e TIE non riesce

Ambiente

Riepilogo

Problema

Causa

Soluzione

Dichiarazione di non responsabilità

Prodotti interessati

Lingue:

Title

Title

Knowledge Center

Problemi di prestazioni sugli endpoint di controllo delle applicazioni quando la comunicazione GTI e TIE non riesce

Ambiente

Riepilogo

Problema

Causa

Soluzione

Dichiarazione di non responsabilità

Prodotti interessati

Lingue:

Scegli la regione

Title

Title