El Event Parser no envía eventos cuando existen problemas de TLS entre ePO 5.10 y un receptor de syslog registrado

Artículos técnicos ID: KB92239
Última modificación: 2022-10-03 18:55:43 Etc/GMT

Entorno

ePolicy Orchestrator (ePO) 5.10 actualizaciones 1 – 6

Problema

Cuando ePO 5.10 tiene un receptor registrado syslog , observa lo siguiente:

El proceso eventparser.exe r deja de Event Parse responder.
Se impide que los eventos se analicen, ya sea en la base de datos SQL de ePO o se reenvíen al syslog receptor.
Al reiniciar el Event Parser proceso, se permite continuar con el análisis temporal, pero el problema vuelve pronto.

A menudo, en entornos en los que el syslog receptor no está configurado para aceptar conexiones cifradas de forma adecuada, se produce una de las siguientes situaciones:

La opción "probar conexión" muestra un error.
Nunca se completa.

Motivo

El Event Parser proceso no puede detectar una conexión bloqueada, lo cual se produce en cualquiera de los casos siguientes:

El receptor de syslog registrado no está configurado adecuadamente para Transport Layer Security (TLS) las conexiones cifradas.
El protocolo de TLS enlace entre el servidor de ePO está dañado.

Para comprobar si se aplica este artículo:
Vaya a la página Configuración del servidor registrado correspondiente al syslog receptor y haga clic en probar conexión. Si no ve un mensaje de éxito o error, pero en su lugar ve tres puntos, tiene este problema.

El problema se produce porque ePO requiere que los receptores acepten conexiones TLS a través de syslog TCP. Para obtener detalles sobre syslog los requisitos del receptor, consulte KB91194-requisitos de comunicación para la integración de syslog de ePolicy Orchestrator.

Cuando el Event Parser servicio intenta reenviar un evento a un receptor que no cumple los requisitos, no realiza una conexión correcta. El intento de conexión deja de responder y, tras un período, se consumen todas las conexiones disponibles. En este momento, el event parser proceso detiene los eventos.

Solución 1

Este problema se ha resuelto en la actualización 7 de EPolicy Orchestrator 5.10.0, que se encuentra disponible en el sitio web de descargas de productos.

Nota: Necesita un número de concesión válido para acceder a la actualización.

Para ver otros problemas conocidos y resueltos, consulte el KB90382-EPolicy Orchestrator 5.10.x problemas conocidos.

Se incluye un cambio en el código base de ePO 5.10 incluido en ePO 5.10 Update 7 . Este cambio de diseño evita que el Event Parse proceso r deje de responder al intentar negociar un tiempo de espera de conexión TLS.

Solución 2

Configure el syslog receptor para que cumpla los requisitos de cifrado del servidor de ePO. Para obtener detalles, consulte KB91194-requisitos de comunicación para la integración de syslog de EPolicy Orchestrator.

Solución temporal

Opción 1 : Desactive el reenvío de eventos a syslog modo de solución temporal a corto plazo para eliminar todos los servidores registrados Syslog :

Inicie sesión en la consola de ePO.
Desplácese hasta menú, configuración, servidores registrados.
Seleccione un Syslog servidor.
Haga clic en acciones, eliminar.

Opción 2 : impide que se reenvíen todos los eventos a Syslog los servidores:

Inicie sesión en la consola de ePO.
Desplácese hasta menú, configuración, configuración del servidor.
Seleccione filtrado de eventos.
Haga clic en Edit.
Seleccione almacenar en McAfee ePO para eventos no filtrados.
Haga clic en Guardar.

Descargo de responsabilidad

El contenido de este artículo se creó en inglés. En caso de darse cualquier diferencia entre el contenido en inglés y su traducción, el primero siempre será el más preciso. La traducción de algunas partes de este contenido la ha proporcionado Microsoft mediante el uso de traducción automática.

Productos implicados

Idiomas:

Este artículo se encuentra disponible en los siguientes idiomas:

Knowledge Center

El Event Parser no envía eventos cuando existen problemas de TLS entre ePO 5.10 y un receptor de syslog registrado

Entorno

Problema

Motivo

Solución 1

Solución 2

Solución temporal

Descargo de responsabilidad

Productos implicados

Idiomas:

Title

Title

Knowledge Center

El Event Parser no envía eventos cuando existen problemas de TLS entre ePO 5.10 y un receptor de syslog registrado

Entorno

Problema

Motivo

Solución 1

Solución 2

Solución temporal

Descargo de responsabilidad

Productos implicados

Idiomas:

Wählen Sie Ihre Region

Title

Title