Alto volume de DoS de aprendizado detectado após reinicialização/upgrade do sensor

Artigos técnicos ID: KB91581
Última modificação: 2023-02-28 12:41:59 Etc/GMT

Ambiente

Trellix Intrusion Prevention System (Trellix IPS)

Problema

Ao reinicializar o Sensor, você vê um alto volume DoS ataques de aprendizagem detectados, como os seguintes:

Inbound TCP SYN or FIN Volume Too High
TCP Control Segment Anomaly

If you view the DoS profile, you might see the following output:

show dospreventionprofile tcp-syn inbound

packet type: TCP-SYN IN (0), profile stage: normal operation (65)
long-term average rate=7793.464(pkts/s), last_rate=0.000(pkts/s)
not enough long-term traffic received to establish a reliable profile, blocking based on current traffic distribution only
percentage of 'good' traffic blocked (estimate)=0.0%
percentage of traffic blocked (total, estimate)=0.0%
each line: block_flag, bin_index, IP_prefix/prefix_len, AS(%), LT(%), ST(%), ltR(ate), stR(ate)
AS(%) -- percentage of the IP address space this bin occupies
LT(%) -- percentage of long-term traffic that falls into this bin
ST(%) -- percentage of short-term traffic that falls into this bin
ltRate -- long-term traffic rate (in pkts/s) for this bin
stRate -- short-term traffic rate (in pkts/s) for this bin
block flag meaning: * -- blocked due to low long-term traffic,
# -- blocked due to excessive current traffic, no flag -- not blocked

Causa

O tráfego de longo prazo não suficiente recebido para estabelecer uma mensagem de perfil confiável se deve à natureza ou padrão do tráfego de rede local. Um mecanismo codificado monitora se o tráfego suficiente passou pelo Sensor para determinar se o perfil é confiável. Quando a Sensor decide que não é confiável, o perfil DoS não é carregado na memória local do Sensor. Essa verificação é executado quando o Sensor está reinicializando.

Solução

Há duas opções para recuperação dessa situação:

Para manter o mesmo perfil, faça upload do perfil arquivo para o Manager e, em seguida fazer download-o de volta para o Sensor:

Clique em Dispositivos, Dispositivos, <Sensor Name>Solução de problemas, Denial of ServiceGerenciamento de dados.
Selecione Fazer upload DoS perfil de usuário (dispositivo para o Manager) e clique em Atualizar.
Selecione Fazer upload e clique em Fazer upload de perfis do DOS.
Feche a janela depois que o upload terminar.
Retorne à página Gerenciamento de dados.
Clique em Restaurar um DoS de usuário (Gerenciador para dispositivo) e clique em Atualizar.
Selecione o perfil do upload e clique em Restaurar.
Feche a janela depois que a restauração terminar.

Essas etapas forçam a memória local a ser inicializada novamente com os dados de arquivo perfil.

Para reconstruir o DoS de rede desde o início:

Clique em Dispositivos, Dispositivos, <Sensor Name>Solução de problemasDenial of Service, Gerenciamento de dados.
Clique em Reconstruir DoS perfil de usuário (inicie o processo de aprendizado zero) e clique em Atualizar.

IMPORTANTE:: O Sensor vai para o DoS detecção após 48 horas de aprendizado.

Aviso de isenção de responsabilidade

O conteúdo original deste artigo foi redigido em inglês. Se houver diferenças entre o conteúdo em inglês e sua tradução, o conteúdo em inglês será o mais exato. Parte deste conteúdo foi criado por meio de tradução automática da Microsoft.

Produtos afetados

Idiomas:

Este artigo está disponível nos seguintes idiomas:

Knowledge Center

Alto volume de DoS de aprendizado detectado após reinicialização/upgrade do sensor

Ambiente

Problema

Causa

Solução

Aviso de isenção de responsabilidade

Produtos afetados

Idiomas:

Title

Title

Knowledge Center

Alto volume de DoS de aprendizado detectado após reinicialização/upgrade do sensor

Ambiente

Problema

Causa

Solução

Aviso de isenção de responsabilidade

Produtos afetados

Idiomas:

Escolha a sua região

Title

Title