1365日再起動問題の影響をうける製品とバージョン 以下機器とバージョンを利用の場合、起動し1365日(=3年270日)後に再起動、もしくは、CPU高負荷が発生する可能性があります。 対象製品： ・ASA5500-X ・ASA5585-X ソフトウェアバージョン ・ASA 9.2.x もしくは ASA 9.3.x のみ 補足： ・ASA5505は影響を受けません ・ASA5506-X/ASA5508-X/ASA5516-Xは影響を受けません (*ミニマムのASAバージョンが9.3.2以降のモデルのため) ・ASA5500-X/ASA5585-X利用時も、ASA 9.1以前を利用時は影響を受けません 本問題は以下不具合管理IDで公開しております。 CSCvm15584 ASA traceback or high CPU stuck by reaching 1365 days uptime ASAの稼働時間は shwo versionや ASDMのHome画面のDevice Informationから確認可能です。 ASA5555# show version Cisco Adaptive Security Appliance Software Version 9.6(3)3 Device Manager Version 7.8(2)151 Compiled on Tue 25-Apr-17 13:19 PDT by builders System image file is "disk0:/asa963-3-smp-k8.bin" Config file at boot was "startup-config" ASA5555 up 178 days 23 hours <--- THIS failover cluster up 181 days 12 hours       問題発生時の症状 ASA5500-X/ASA5585-Xで影響を受けるバージョンを利用時、稼働し1365日(=3年270日)経過したタイミングで、以下のシスログの生成を伴い、クラッシュによる再起動、もしくは CPU高負荷問題が発生します。通常、クラッシュが発生し、CPU高負荷問題が発生するケースは非常に稀です。 %ASA-3-402148: CRYPTO: Random Number Generator error" syslog messages. クラッシュ発生時は、show crashinfoコマンドにて、暗号処理のTimer処理に関連する"CTM Daemon"のThreadによるクラッシュの発生であることを確認できます。及び、show crashinfo内のshow version出力より、クラッシュ発生時の対象機の稼働時間が 3 years 270 days (=1365日)であることを確認できます。 ASA/act# show crashinfo : Saved_Crash Thread Name: CTM Daemon <--- THIS Abort: Unknown r8 0x0000000000000001 r9 0x0000000000000000 r10 0x0000000000000001 r11 0x0000000000000006 --- 略 --- Cisco Adaptive Security Appliance Software Version 9.2(2)4 <system> Device Manager Version 7.1(3) Compiled on Tue 29-Jul-14 23:41 PDT by builders System image file is "disk0:/asa922-4-smp-k8.bin" Config file at boot was "startup-config" ASA up 3 years 270 days <--- THIS failover cluster up 3 years 274 days   CPU高負荷問題は、ASDMやSSH、AnyConnectなど暗号処理関係の設定/機能を使ってないASAで 発生する可能性があります。暗号関連設定を利用しないASAの場合、1365日稼働後にクラッシュが発生せず、代わりにCPU負荷が80%以上と高い状態が続くことがあります。CPU高負荷問題が発生後の回復には、手動再起動による復旧が必要です。   原因 ASAバージョン 9.2(1)以降の暗号処理関連の実装変更が起因です。 ASA内部の暗号処理関係のカウンタが、1365日経過時に溢れることにより、主に暗号関係の内部Timer処理において不整合を引き起こし クラッシュなどの問題が発生します。   回避策 影響バージョンの場合、1365日(=3年270日)経過前に対象機器を再起動することで、内部カウンタをリセットが可能です。稼働し1300日を超える機器、かつ、即座にアップグレードの難しい機器は、速やかな手動での再起動をおすすめします。 冗長構成の場合、以下ドキュメント手順を参考に片側ずつ再起動することで、通信影響を抑えることが可能です。 ASA: 冗長構成(Act/Stby)で Active機とStandby機の再起動方法 (CLI) https://community.cisco.com/t5/-/-/ta-p/3166724   恒久対応策 ASAバージョン 9.3(2)以降、もしくは、9.4(1)以降にて、暗号関係の実装変更に伴い CSCvm15584の問題コードは改修済みです。 なお、2019年8月現在、9.2と9.3トレインは既にソフトウェアメンテナンスは終了済みとなり、9.4トレインも 2019年8月28日にソフトウェアメンテアンスが終了します。ソフトウェアメンテナンス終了後は、原則 不具合や脆弱性の修正バージョンはリリースされません。 そのため、影響を受ける製品とバージョンをご利用時は、ソフトウェアメンテナンス中のASAバージョン 9.6.xや9.8.xなどの 最新のInterimバージョンなどへのアップグレードをお勧めします。 [End-of-Life and End-of-Sale Notices] https://www.cisco.com/c/en/us/products/security/asa-firepower-services/eos-eol-notice-listing.html   参考情報 ASA: Crash原因の調査方法 https://community.cisco.com/t5/-/-/ta-p/3163170 ファイアウォール トラブルシューティング https://supportforums.cisco.com/ja/document/12725841 ... View more

  本ドキュメントでは、以下のよくあるトラブル事例とその原因、対応例について紹介します。   トラブル事例 Connection Eventsより 圧縮されたマルウェアファイルの通過が確認できる    File Eventsより ファイルサイズが 0.13KBであることがわかる    原因 圧縮ファイルなどのアーカイブファイルの検査には、そのアーカイブファイルの検査の事前有効化が必要です。また、検査対象のアーカイブファイルのファイルサイズは、最小 6KB ～ 最大 1MBのため、この範囲外の場合、詳細検査は行われません。      対応例 本件問題の発生を防ぐには、以下の対応が有効です。 アーカイブファイルの検査を有効化 詳細検査の対象となるファイルサイズのチューニング 各対応について順に説明します。 1. アーカイブファイルの検査を有効化 デフォルトでアーカイブファイルの検査は無効のため、Policies > Malware & File > Advanced より、"Inspect Archives"の有効化をしてください。   2. 詳細検査の対象となるファイルサイズのチューニング アーカイブファイルの詳細検査には ファイルのキャプチャが必要となり、デフォルトのキャプチャ可能なファイルサイズは 最小 6KB ～ 最大 1MBです。必要に応じて、Policies > Access Control > Advanced から、サイズのチューニングをしてください。 なお、キャプチャ対象のファイルサイズの枠を広げるほど、検査対象のファイルが増加し、それは負荷増大原因となります。どの程度のサイズのファイルまでネットワーク機器で検査しブロックを行うか、どの程度のサイズのファイルからは(多くの場合 エンドポイントでもアンチマルウェアソフトウェアを導入しているため) エンドポイント側での検査に任せるか、メリハリ付けが、パフォーマンスを最適に保つうえで重要となります。 Firepower Systemのデフォルト値の利用が推奨となり、過少や過大なサイズの設定は控えることをお勧めします。 ... View more

  本ドキュメントでは、以下のよくあるトラブル事例とその原因、対応例について紹介します。   トラブル事例 クラウドルックアップに失敗し、マルウェアファイルと思われるファイルも通過してしまう File > File Eventsより、Actionが Cloud Lookup Timeoutであることを確認できる    原因 Firepower Systemで AMP for Networksの マルウェア検知機能を利用時の処理フローは以下となります。 クラウドルックアップは、最初の判定 および 追加の詳細ファイル分析を行うかの判断を行う重要な処理です。仮にクラウドルックアップに失敗した場合、マルウェアなのか、未知(追加調査必要)なのか、クリーン(問題ないファイル)なのか判定ができないため、そのまま許可され通過してしまいます。結果、クラウドルックアップがタイムアウトすると、マルウェアファイルも通過してしまう原因となります。   対応例 本件問題の発生を防ぐには、以下の対応が有効です。 常時インターネットに接続可能な環境に設置する 名前解決とクラウドへのTCP80/443アクセスを許可する 最寄りのクラウドを利用する (必要に応じて) タイムアウトの許容時間(秒)を増やす 各対応について順に説明します。 1. 常時インターネットに接続可能な環境に設置する AMP for Networksの利用においてインターネットの常時アクセスは必須です。そのため、インターネットアクセスの安定した環境に設置してください。ミッションクリティカルな環境の場合は、経路のインターネット接続の冗長化も強くお勧めします。   2. 名前解決とクラウドへのTCP80/443アクセスを許可する AMP for Networksの利用において主に以下のクラウドを利用します。以下宛の名前解決が可能か、及び 以下宛のTCP80/443のアクセスが経路機器で許可されているか確認してください。Dynamic Analysisを利用時は、Firepower Management Center (FMC)と FTD/Firepowerデバイス両方からのクラウドアクセスの許可が必要です。 なお、接続先について利用バージョンの最新の情報はConfiguration Guideを参照してください。例えば、Firepower System 6.2.3のクラウド接続先情報は コチラから確認できます。 機能 Asia Pacific, Japan, China (APJC) North America (US) Malware cloud lookup cloud-sa.apjc.amp.sourcefire.com cloud-sa.amp.sourcefire.com シグネチャ アップデート ダウンロード updates.vrt.sourcefire.com amp.updates.vrt.sourcefire.com Dynamic Analysis fmc.api.threatgrid.com panacea.threatgrid.com     名前解決や通信経路のポート疎通確認は、FMCにSSHアクセスし、以下コマンドで確認可能です。 admin@nakamura-FMC:~$ nslookup cloud-sa.apjc.amp.sourcefire.com Server: xx.xx.xx.xx Address: xx.xx.xx.xx#53 Non-authoritative answer: Name: cloud-sa.apjc.amp.sourcefire.com Address: 46.51.255.75 Name: cloud-sa.apjc.amp.sourcefire.com Address: 54.248.112.163 admin@nakamura-FMC:~$ curl -k -v cloud-sa.apjc.amp.sourcefire.com:80 * Rebuilt URL to: cloud-sa.apjc.amp.sourcefire.com:80/ * Trying 54.248.112.163... * Connected to cloud-sa.apjc.amp.sourcefire.com (54.248.112.163) port 80 (#0)      3. 最寄りのクラウドを利用する 設置サイトに近いクラウド選択は AMP > AMP Management から実施できます。最寄りクラウドを利用することで、応答速度や通信品質の改善と Timeout発生の抑止を期待できます。日本設置の場合は、基本 APJC Cloudを選択してください。    4. (必要に応じて) タイムアウトの許容時間(秒)を増やす 設置拠点のインターネット接続品質が著しく悪いなどの拠点の場合は、デフォルト待ち時間 (2秒) の変更検討してください。Policies > Access Control > Advanced から設定変更可能です。      参考情報 Firepower Management Center Configuration Guide, Version 6.2.3 https://www.cisco.com/c/en/us/td/docs/security/firepower/623/configuration/guide/fpmc-config-guide-v623/security__internet_access__and_communication_ports.html Firepower System: インターネットアクセスが必要となる機能と 通信要件 https://community.cisco.com/t5/-/-/ta-p/3163780 ... View more

FirePOWERモジュールもしくはFTDソフトウェアの稼働には多量のメモリが必要となり、搭載メモリ量の少ない以下モデルでは以下の利用バージョン制限が発生します。 対象製品 ・ASA5506-Xシリーズ ・ASA5512-X   利用バージョン制限 ・ASA with FirePOWER moduleの利用は、ASAバージョン 9.9.x、FirePOWERバージョン 6.2.3.xまで利用可能 ・FTDの利用は、FTDバージョン 6.2.3.xまで利用可能   例えば、ASA5506/5512でASA with FirePOWERを利用時、ASAソフトウェアバージョンを 9.10(1)にアップグレードした場合、FirePOWERモジュールへのトラフィック送信ができなくなり 事実上 FirePOWERモジュールの利用不可となります。 ASA5506/5512で、FirePOWERモジュールソフトウェア バージョン6.3以降は提供されません。 例えば、ASA5506/5512では、FTDソフトウェア バージョン6.3以降は提供されません。 ASA5506/5512利用環境で、FirePOWERもしくはFTDソフトウェア 6.3以降を利用したい場合は、メモリやパフォーマンスがより高い、ASA5508-XやASA5516-Xなど上位モデルにマイグレーションを検討してください。 なお、ASA5506/5512をASAソフトウェア単体で利用時は、上記の利用バージョン制限は受けません。       参考情報 CLI Book 2: Cisco ASA Series Firewall CLI Configuration Guide, 9.10 https://www.cisco.com/c/en/us/td/docs/security/asa/asa910/configuration/firewall/asa-910-firewall-config/access-sfr.html#ID-2123-000005fb  抜粋： The ASA 5506-X series and 5512-X no longer support the ASA FirePOWER module in 9.10(1) and later due to memory constraints. You must remain on 9.9(x) or lower to continue using this module. Other module types are still supported. If you upgrade to 9.10(1), the ASA configuration to send traffic to the FirePOWER module will be erased; make sure to back up your configuration before you upgrade. The FirePOWER image and its configuration remains intact on the SSD. If you want to downgrade, you can copy the ASA configuration from the backup to restore functionality.    Firepower Release Notes, Version 6.3.0 https://www.cisco.com/c/en/us/td/docs/security/firepower/630/relnotes/firepower-release-notes-630/new_features.html  抜粋： You cannot install Firepower Threat Defense 6.3 or subsequent releases on the ASA 5506-X, 5506W-X, 5506H-X, and 5512-X. The final supported FTD release for these platforms is 6.2.3.   ... View more

サービス指定のStatic NATは、その宛先IPアドレスに紐づいたポート番号のみの通過を許可し、その宛先IPアドレス宛のそれ以外のポート利用時はnat-no-xlate-to-pat-poolの理由でドロップされます。 これはASAバージョン 9.0(1)からの実装です。   例えば以下の、サービス指定を含むStatic NATを設定した場合・・ [NAT設定] nat (inside,outside) source static any any destination static obj-10.1.1.100 obj-10.1.1.100 service http-80 http-8080 [show nat detailの出力] ASA5555# show nat detail --- snip --- 3 (inside) to (outside) source static any any destination static obj-10.1.1.100 obj-10.1.1.100 service http-80 http-8080 translate_hits = 0, untranslate_hits = 0 Source - Origin: 0.0.0.0/0, Translated: 0.0.0.0/0 Destination - Origin: 10.1.1.100/32, Translated: 10.1.1.100/32 Service - Origin: tcp destination eq www , Translated: tcp destination eq 8080   IPアドレス 10.1.1.100宛の、TCP 80通信は変換され、通過が許可されることを、パケットトレーサーから確認できます。 ASA5555(config)# packet-tracer in inside tcp 192.168.0.1 1024 10.1.1.100 80 Phase: 1 Type: UN-NAT Subtype: static Result: ALLOW Config: nat (inside,outside) source static any any destination static obj-10.1.1.100 obj-10.1.1.100 service http-80 http-8080 Additional Information: NAT divert to egress interface outside Untranslate 10.1.1.100/80 to 10.1.1.100/8080 --- snip --- Result: input-interface: inside input-status: up input-line-status: up output-interface: outside output-status: up output-line-status: up Action: allow    しかし、IPアドレス 10.1.1.100宛の、TCP 80以外のポート宛の通信・・・例えばTCP21(FTP)やTCP25(SMTP)などは、nat-no-xlate-to-pat-poolでドロップされます。 以下は、TCP21での通信試験例です。 ASA5555(config)# packet-tracer in inside tcp 192.168.0.1 1024 10.1.1.100 21 Phase: 1 Type: ROUTE-LOOKUP Subtype: Resolve Egress Interface Result: ALLOW Config: Additional Information: found next-hop 10.71.228.254 using egress ifc outside Result: input-interface: inside input-status: up input-line-status: up output-interface: outside output-status: up output-line-status: up Action: drop Drop-reason: (nat-no-xlate-to-pat-pool) Connection to PAT address without pre-existing xlate     IPアドレス 10.1.1.100宛の、TCP 80以外のポート利用通信の通過を許可したい場合は、サービス指定のない同じIPアドレス変換が可能なNATルールを追加してください。 特にTwice NATの場合、上から順にNATルールは評価されるため、サービス指定のNATルールの下に IP指定のみのNATルールを追加します。 [NAT設定] nat (inside,outside) source static any any destination static obj-10.1.1.100 obj-10.1.1.100 service http-80 http-8080 nat (inside,outside) source static any any destination static obj-10.1.1.100 obj-10.1.1.100 <--- 追加 [show nat detailの抜粋] ASA5555(config)# show nat detail Manual NAT Policies (Section 1) --- snip --- 3 (inside) to (outside) source static any any destination static obj-10.1.1.100 obj-10.1.1.100 service http-80 http-8080 translate_hits = 0, untranslate_hits = 0 Source - Origin: 0.0.0.0/0, Translated: 0.0.0.0/0 Destination - Origin: 10.1.1.100/32, Translated: 10.1.1.100/32 Service - Origin: tcp destination eq www , Translated: tcp destination eq 8080 4 (inside) to (outside) source static any any destination static obj-10.1.1.100 obj-10.1.1.100 translate_hits = 0, untranslate_hits = 0 Source - Origin: 0.0.0.0/0, Translated: 0.0.0.0/0 Destination - Origin: 10.1.1.100/32, Translated: 10.1.1.100/32   指定ポートにマッチしない通信は、サービス指定のないルールにマッチし通過可能になります。 ASA5555(config)# packet-tracer in inside tcp 192.168.0.1 1024 10.1.1.100 21 Phase: 1 Type: UN-NAT Subtype: static Result: ALLOW Config: nat (inside,outside) source static any any destination static obj-10.1.1.100 obj-10.1.1.100 Additional Information: NAT divert to egress interface outside Untranslate 10.1.1.100/21 to 10.1.1.100/21 --- snip --- Result: input-interface: inside input-status: up input-line-status: up output-interface: outside output-status: up output-line-status: up Action: allow       Static NATでサービス利用時の、未指定ポートの通信制限については、以下のConfiguration Guideより確認可能です。 https://www.cisco.com/c/en/us/td/docs/security/asa/asa99/configuration/firewall/asa-99-firewall-config/nat-basics.html#ID-2090-0000083f 抜粋： Static NAT with Port Translation --- snip --- Static NAT-with-port-translation rules limit access to the destination IP address for the specified port only. If you try to access the destination IP address on a different port not covered by a NAT rule, then the connection is blocked. In addition, for twice NAT, traffic that does not match the source IP address of the NAT rule will be dropped if it matches the destination IP address, regardless of the destination port. Therefore, you must add additional rules for all other traffic allowed to the destination IP address. For example, you can configure a static NAT rule for the IP address, without port specification, and place it after the port translation rule.   当実装について詳しくは、以下不具合管理IDからも確認可能です。 なお、当制限はASAバージョン 9.0(1)からの実装のため、CSCuc28796は問題の明示用の不具合管理IDであり、 CSCuc28796の 修正予定はありません。 CSCuc28796 Traffic to static identity host with service object trans is not working https://bst.cloudapps.cisco.com/bugsearch/bug/CSCuc28796/?rfs=iqvred          参考情報 ASA: NATルールタイプ別の処理の違いと 設定例 https://supportforums.cisco.com/ja/document/12482501 ASA 8.3+ パケット処理順序と 処理負荷概要と、パケットトレーサ https://community.cisco.com/t5/-/-/ta-p/3155834 ファイアウォール トラブルシューティング https://supportforums.cisco.com/ja/document/12725841#hdr-1 ... View more

   はじめに 以下は、ASA5500-XシリーズでASAソフトウェア利用時の保守交換作業時に シスコTACが利用している情報とドキュメントです。 保守交換時に参考情報として利用できます。 なお、ご利用の構成や設定によっては、別途追加の保守対応手順の実施などが必要となることがあります。以下情報は、予告なしに変更されることがあります。        ASA5500-X 本体交換 (バックアップファイル利用時) 復元可能 ASAソフトウェアとASDMソフトウェア ASAの殆どの設定 AnyConnectパッケージと設定 Clientless VPN用設定 Identity Certificateと 紐付いたRSAキー CSD (Cisco Secure Desktop)のイメージと HostScan設定 PreShared Keyや SNMP Community名 など   復元不可 Multiple Context Mode    ※CLIからの復元が必要 Local CA Server設定   ※コチラ参照し別途復旧が必要 FirePOWER Module ソフトウェアと設定   ※利用時はコチラを参照し別途復旧が必要   作業必要情報 指定のASAソフトウェアバージョンのイメージ 指定のASDMソフトウェアバージョンのイメージ Activation-key    ※ハードウェア交換で、保守部材(ライセンス未有効化機器)を利用時のみ バックアップファイル    ※ASDM用はzip形式、CLI用は tar.gz形式 コンソール、もしくは SSH/ASDMログイン用のパスワード、もしくは ユーザ名/パスワード (証明書利用時のみ) 証明書復元用のパスフレーズ     事前 取得 情報 保守対象機から、以下URLを参考にASDM(もしくはCLI)からのバックアップファイル取得と、show inventoryや show tech (もしくは show version) コマンド出力の取得をしておくこと https://supportforums.cisco.com/t5/-/-/ta-p/3155941   交換 作業 手順   1. 良品のハードウェア構成を、交換対象機(=障害機)と同じ状態にする   2. 以下を上から順に実施し、良品のセットアップ ASA/ASDMバージョン合わせ https://supportforums.cisco.com/t5/-/-/ta-p/3133580 Activation Key (ライセンス) 有効化 https://supportforums.cisco.com/t5/-/-/ta-p/3162811#toc-hId--83188317 ASDMによる管理アクセス https://supportforums.cisco.com/t5/-/-/ta-p/3138282 バックアップファイルによるリストア実施 https://supportforums.cisco.com/t5/-/-/ta-p/3155941#toc-hId--764079781    3. セットアップ後の良品の再起動   4. 交換前後の設定( more system:running-config)や show version、show inventory、show moduleなどの出力を比較し、良品の事前セットアップが問題ないこと、及び、show logやshow log asdmコマンドでハードウェアエラーログの出力が無いことを確認   5. 交換   作業 時間 目安 ２～３時間 作業注意 事項 利用ASDMのバージョンが古い場合は、利用PCのJavaが旧ASDMバージョンに対応していない恐れがある。利用ASDMバージョンが古く 利用PCでASDM起動ができない場合は、まずは最新ASDMバージョンを利用しセットアップ/復元してから、後からASDMバージョンをダウングレードするとよい。ASDMバージョンの変更は、再起動無しに即座に簡単に実施可能。ASDMのJava互換性情報は、ASDMリリースノートを参照。ASDMバージョンのみ変更手順はコチラを参照    ※ASDMバージョンが古い影響によるセットアップトラブルも稀に発生するため、その場合は最新ASDMバージョンに一旦あげてリストアしてから、ASDMバージョンを戻すのも有効です 証明書利用時は、その復元に、バックアップ時のパスフレーズ入力が必要。デフォルト cisco。 入力しないと、正しく証明書は復元されない NAT利用時 かつ 論理MACアドレスを明示的に設定してない場合は、交換前後でインターフェイスのMACアドレスが変わる事により、交換後に通信影響が発生する可能性がある。該当設定を利用時は、必要に応じて、ASA交換後に周囲機器のARPテーブルの手動クリア、もしくは周囲機器再起動によるARPテーブル初期化を行うこと   冗長構成の機器交換を行う場合は、交換対象機の電源を落とし交換し、ケーブルを全て結束してから新機器を起動すること。 冗長構成での交換手順について詳しくは、コチラを参照 証明書未使用時かつSSH利用時は、crypto key generate rsa general-keys modulus 1024 noconfirm コマンドを入力し RSAキーの生成を合わせ行うこと。詳しくは、コチラを参照    備考 障害機のASAバージョンとASDMバージョンは、show version もしくは show techから確認可能。障害機の保守交換用のシリアル番号は show inventoryから確認可能 交換前後でWinMergeなどで設定を比較したい場合は、バックアップファイルを解凍し 中の設定ファイルを差分比較に利用可能 モジュールの装着や稼働状況は、show inventoryと show moduleから確認可能。 show moduleの出力は、show tech内に含まれる CLIのバックアップ/リストア機能は、バージョン 9.3(2)からのサポートのため、古いASAバージョンや機種の場合は、CLIのバックアップ/リストア機能は利用できない  ASAの復旧対応は基本、当手順記載のバックアップファイルを利用した復元が推奨。特にVPN関連の設定利用時は、当手順でないと復元できない設定やファイルが多いため          よくある質問 当手順はFirepower2100/4100シリーズのASAソフトウェア利用時の保守対応に利用できますか Firepower2100/4100シリーズの場合、事前にスーパーバイザーのFXOSの復旧作業が別途必要となります。詳しくは以下ドキュメントを参照してください。 Firepower2100-ASA: FXOS設定のバックアップと復元方法 Firepower4100-ASA: FXOSとASA設定のバックアップと復元方法 また、Firepower2100/4100シリーズのライセンスはスマートライセンス方式のため、交換後の新機器のスマートライセンス登録と、旧機器に割り当てていたライセンスを新機器に割り当てしなおしが必要となります。         参考情報 ファイアウォール トラブルシューティング https://supportforums.cisco.com/ja/document/12725841#ASA_Firewall-2 ... View more

    1. FN-70318の影響範囲 証明書の問題により、2018年8月から、ローカルマルウェア分析やサンドボックス分析判断に用いるシグネチャのダウンロードに失敗するようになります。 ローカルマルウェア分析とサンドボックス分析は、Firepower Systemでマルウェア検知を利用時に使う機能の1つです。そのため、Malwareライセンスを購入し ローカルマルウェア分析やダイナミック分析を利用しているシステムの場合、2018年12月現在、Firepower System 6.0以降の殆どのバージョンが本不具合の影響を受けます。逆に、Malwareライセンスを購入/利用しておらず、これら分析機能を利用していない場合は、影響を受けません。 Firepower Systemで マルウェア検知機能を利用時の処理フローについて詳しくは以下画像を参照してください。今回影響をうけるシグネチャファイルは、以下画像の[ローカルマルウェア分析]と[ダイナミック分析]のフェーズで利用されます。   問題が発生しているシステムの場合、System > Integration > Cisco CSIの Last Local Malware Detection Updateが 2018年8月のままの状態となります。    より詳しい症状と条件については、FN-70318と CSCvm81052 を参照してください。       2. FN-70318の対応方法 影響バージョンでMalwareライセンスを利用、かつローカルマルウェア分析を利用時の場合、以下の何れかの方法で問題の対応が可能です。   2.1. 修正バージョンにアップグレード   2.2. ホットフィックスの適用   2.3. 手動でのCAcertの更新 2.1. 修正バージョンにアップグレード 2018年12月現在、バージョン 6.3に修正が含まれており、バージョン 6.2.3.8で修正予定です。 6.2.3.8は2019年1月初めにリリース予定です。   2.2. ホットフィックスの適用 ご利用のリリースの Hotfix_Local_Malware_Cert-6.x.x.x.999-x.tar ファイルが利用できます。例えば以下は6.2.3.x用のHotfixになります。 バージョン6.0用、6.1用、6.2.2用、6.2.3用の各Hotfixを利用可能です。    Hotfixのリリースのないバージョン(例えば6.2.0.x)の場合は、2.3の手動でのCAcertの追加、もしくは、Hotfix適用可能バージョン、もしくは 修正バージョンへのアップグレードを検討してください。 2018年12月現在、全てのFirepower Systemは、バージョン 6.2.3以降の最新パッチバージョンの利用が推奨です。   2.3.手動でのCAcertの更新 CSCvm81052記載の Workaroundの適用を実施します。以下は実際の機器への適用と動作確認例です。作業時間の目安は5分程度です。 まず、FMCにSSHなどでアクセスし、既存のCAcert.pemのバックアップを取ったのち、新規でCAcert.pemの作成を行います。 admin@FMC:~$ sudo su - Password: root@FMC:~# root@FMC:~# mv /etc/sf/keys/sandbox/cacert.pem /etc/sf/keys/sandbox/cacert.pem.bak root@FMC:~# root@FMC:~# vim /etc/sf/keys/sandbox/cacert.pem   VIMコマンド実行後、iを入力し編集モードに移行した後、CSCvm81052の Workaround記載の、--- BEGIN CERTIFICATE --- から --- END CERTIFICATE --- までをペーストします。 ペースト完了後、ESCキーと :wq を入力し 編集モード終了と保存を行います。 -----BEGIN CERTIFICATE----- MIIF1DCCA7ygAwIBAgIQNz8Ipy2X8LBL1d0P+acMfzANBgkqhkiG9w0BAQsFADBq MRMwEQYKCZImiZPyLGQBGRYDY29tMRowGAYKCZImiZPyLGQBGRYKc291cmNlZmly ZTETMBEGCgmSJomT8ixkARkWA3ZydDEiMCAGA1UEAxMZVlJUIENlcnRpZmljYXRl IEF1dGhvcml0eTAeFw0xMjA4MjkxODU3MDBaFw0yMjA2MDIxNTM0MjFaMGoxEzAR BgoJkiaJk/IsZAEZFgNjb20xGjAYBgoJkiaJk/IsZAEZFgpzb3VyY2VmaXJlMRMw EQYKCZImiZPyLGQBGRYDdnJ0MSIwIAYDVQQDExlWUlQgQ2VydGlmaWNhdGUgQXV0 aG9yaXR5MIICIjANBgkqhkiG9w0BAQEFAAOCAg8AMIICCgKCAgEAtYbRWazawM1b nWFG/lqu5dtTLqa2aPKp8spOjwbfEAW6iqdSijUZb9+DhNEZkmDrHHP8l/QaU57v O30plDaoVTDk/v6Gu7h1yluvnLMBPzIu9OQKkRIHQI3EoZDXIY6wS0CJvUk5Xb+D lF8FQjqWc9p16YrUre14gikVAjrkB0ZmODX+SdUYfzfTmCWCrz42DIw02El+saiG 4BEll1lKhGEPhFX/eUmWiZ9DzOUhg0hipKP5BqFHC4rg+OOKlTWe6J4kAdk809mv lK0Dktxm90jYwB8oYYOnMO97Hul65HtlI23J3yasOI1ejUH+6yJdfMkMIQpiH7l6 ltzS5tLyoAe0uZ+hHDbH4YkcIA/X9Yh0GFGfQuLT6ZK3Awp/qTGBCT6ZYYJilUAM 3vL+MtpGNh6juSatrkSAmiJzoMGxp5TM6W5bMNI+QYFRU43o4QFziTPiFkgKwuDI 2gjhQV6oBJPrjcavb9enrSy6ZfqSMXkyJLlNRwf1hsaZNtCure3UDRxu1c0QR6eE myfkJ/TiP/5hzz4qe4LjKMLzVxrCRghddsCVWx/PCWPQ9APeqeJpDzUwIvs1N2/c Cbd9sbNevVaeCVlFbpt0QWU71upR0QKLZ2axqnC/1aPgO6oQ7WF4J5mBqKrx/VPr zfrpu6AKj99UgHpsM7g3UafRjYEBHBECAwEAAaN2MHQwCwYDVR0PBAQDAgGGMA8G A1UdEwEB/wQFMAMBAf8wHQYDVR0OBBYEFCzb5T33BDtz/9mIAc/QXuQlJDmYMBAG CSsGAQQBgjcVAQQDAgECMCMGCSsGAQQBgjcVAgQWBBSbuBN5wvG3LX3mc2ofysni jpxnAjANBgkqhkiG9w0BAQsFAAOCAgEAGmQ9nC1V5qY/Xu8RnITtsgyiJFQnz1k6 VPFdlLzfsuN1mX4eUgseBQj8yN5YmhuE2t8CE2xk7RWC+rYZZBsGhAx7q0ttP8Ja MRXhQCCL89fnlYDIuopzdtJkoSqEk5IF4277Cba7NGxeytsdUG+KglAslDmVjHIk dIRAlVC/E0WRaYVl0Y2qVISBsEA5DIiiuGqbNMUYQAY1oK3+FKH6tyTyXAQ22HQ/ Yr0iXnG9GiPLPfVjJfGwrgYpDfoL4mc328riiCLLvLHoS8gP0SBdWLezMAS6tXXm HYwpTkk1wKrFm4Xfp05Lggy87o9TllO9IelMZD39mhm/45lRMwV1iOuoZnvVD3+V 5DEbvMTFUueFOAsdi7A/RvGUWxWqIuxn1XXgJd3pXhKt8JfE5ebPqloAalnuyslS DSjRGCD28+pBhjPx7vuCaKI3OknNp+7XcYSWFcbY7q7rt1eO7EZlenNMxNzWqvLF fpWQNA6f5fk/c8XCNqMLKhAB1QH9mQ3DN8FL910Z6cCiXYtcdY4GSfoqvni+PuhD KhcX8T+/A73PjuMmdqmvwuq2xFkv8xmbx3gKHfWBi1NoThZViv5PCZtXVAvP09oq hUL94KF32lg3kDzXWLYSTYH5+NW8LmEgjPVUsqEzaTAvnyzZaAjDoNrkC1WZ68XZ rX5zPl5t6sc= -----END CERTIFICATE-----     新しいCAcert.pemを利用するため、pmtool restartbyid CloudAgentコマンドを実行しサービスの再起動を行います。その後、pmtool statusコマンドで、CloudAgentが Runningであることを確認します。 root@FMC:~# pmtool restartbyid CloudAgent root@FMC:~# root@FMC:~# pmtool status | grep Cloud CloudAgent (system) - Running 28593 Command: /usr/local/sf/bin/CloudAgent --config /etc/sf/cloudagent.conf --peers-config /etc/sf/device_cap.conf --ccfg /etc/sf/bca.cfg PID File: /var/sf/run/CloudAgent.pid    対処実行後、/var/log/messagesから シグネチャファイル(preclass.cvd と hifistatic.cvd )のダウンロード成功を確認できます。なお、当アップデートの確認と実行は30分に1回行われます。 preclassがダイナミック分析用、hifistaticがローカルマルウェア分析用のシグネチャファイルです。 root@FMC:~# tail -n 1000 /var/log/messages | grep .cvd Nov 3 15:21:13 firesight SF-IMS[6000]: [6004] CloudAgent:ClamUpdater [INFO] size of downloaded file /var/sf/clamupd_download/preclass.cvd is 44998 Nov 3 15:21:13 firesight SF-IMS[6000]: [6004] CloudAgent:ClamUpdater [INFO] Successfully downloaded preclass.cvd Nov 3 15:21:13 firesight SF-IMS[6000]: [6004] CloudAgent:ClamUpdater [INFO] size of downloaded file /var/sf/clamupd_download/hifistatic.cvd is 3955109 Nov 3 15:21:13 firesight SF-IMS[6000]: [6004] CloudAgent:ClamUpdater [INFO] Successfully downloaded hifistatic.cvd     3. FN-70318の対応後の正常性確認方法 System > Integration > Cisco CSIの Last Local Malware Detection Updateが 最新の日付に更新されていることを確認してください。なお、当アップデートは30分毎に自動で行われます。    ... View more

  はじめに 本ドキュメントでは、Firepower4100や Firepower9300のシャーシ管理用のスーパーバイザーであるFXOSの、ディスク使用状況の、showコマンドとSNMPポーリングを用いた確認方法を紹介します。 本ドキュメントは、Firepower 4120の バージョン 2.3(1.111)を元に確認、作成しております。   なお、ディスク使用率が80%を超過時は show faultコマンドで Disk Usageのアラートを確認できます。 また、FaultイベントはSNMPトラップ通知が可能です。 FaultイベントのSNMPトラップ通知について詳しくは、コチラを確認してください。       ディスク使用状況の確認方法 CLIからの確認 connect local-mgmtから show tech-support module 1 | be DiskFilesystem  コマンドで確認できます。なお、各領域の詳しい用途は非公開となります。 FP4K-A# connect local-mgmt FP4K-A(local-mgmt)# show tech-support module 1 | be DiskFilesystem <DiskFilesystem> <CurrentSnapshot> <Disk> <DiskName>/dev/sda1</DiskName> <--- THIS <DiskTotalKB>7796848</DiskTotalKB> <--- Total Size (KB) <DiskFreeKB>7699512</DiskFreeKB> <--- Free Size (KB) <DiskUsedKB>97336</DiskUsedKB> <--- Used Size (KB) <DiskMountPoint>/mnt/boot</DiskMountPoint> </Disk> <Disk> <DiskName>/dev/sda2</DiskName> <--- THIS <DiskTotalKB>1923084</DiskTotalKB> <DiskFreeKB>1787072</DiskFreeKB> <DiskUsedKB>38324</DiskUsedKB> <DiskMountPoint>/opt/cisco/config</DiskMountPoint> </Disk> <Disk> <DiskName>/dev/sda3</DiskName> <--- THIS <DiskTotalKB>4805760</DiskTotalKB> <DiskFreeKB>4382260</DiskFreeKB> <DiskUsedKB>179380</DiskUsedKB> <DiskMountPoint>/opt/cisco/platform/logs</DiskMountPoint> </Disk> <Disk> <DiskName>/dev/sda5</DiskName> <--- THIS <DiskTotalKB>48061320</DiskTotalKB> <DiskFreeKB>45435580</DiskFreeKB> <DiskUsedKB>184320</DiskUsedKB> <DiskMountPoint>/var/data/cores</DiskMountPoint> </Disk> <Disk> <DiskName>/dev/sda6</DiskName> <--- THIS <DiskTotalKB>131773580</DiskTotalKB> <DiskFreeKB>131528596</DiskFreeKB> <DiskUsedKB>244984</DiskUsedKB> <DiskMountPoint>/opt/cisco/csp</DiskMountPoint> </Disk> </CurrentSnapshot>    SNMPポーリングによる確認 以下のObject名とOIDを利用できます。 MIBファイルは CISCO-FIREPOWER-SM-MIB です。なお、以下OIDを利用するには、CSCvj06276の修正バージョンである、2.3(1.100)もしくは2.4(1.208)以降のFXOSバージョンを利用してください。 cfprSmDiskFileSystemFileSystem .1.3.6.1.4.1.9.9.826.1.71.9.1.5 cfprSmDiskFileSystemMountPoint .1.3.6.1.4.1.9.9.826.1.71.9.1.7 cfprSmDiskFileSystemFreeKb .1.3.6.1.4.1.9.9.826.1.71.9.1.6 cfprSmDiskFileSystemTotalKb .1.3.6.1.4.1.9.9.826.1.71.9.1.8 cfprSmDiskFileSystemUsedKb .1.3.6.1.4.1.9.9.826.1.71.9.1.9    以下は実際のSNMPポーリング実施例とその結果です。 cisco@ubuntu:~$ snmpwalk -On -v 2c 1.150.xx.xx -c cisco .1.3.6.1.4.1.9.9.826.1.71.9.1 --- snip --- .1.3.6.1.4.1.9.9.826.1.71.9.1.5.83016 = STRING: "/dev/sda1" .1.3.6.1.4.1.9.9.826.1.71.9.1.5.83017 = STRING: "/dev/sda2" .1.3.6.1.4.1.9.9.826.1.71.9.1.5.83018 = STRING: "/dev/sda3" .1.3.6.1.4.1.9.9.826.1.71.9.1.5.83019 = STRING: "/dev/sda5" .1.3.6.1.4.1.9.9.826.1.71.9.1.5.83020 = STRING: "/dev/sda6" .1.3.6.1.4.1.9.9.826.1.71.9.1.6.83016 = Gauge32: 7699512 .1.3.6.1.4.1.9.9.826.1.71.9.1.6.83017 = Gauge32: 1787068 .1.3.6.1.4.1.9.9.826.1.71.9.1.6.83018 = Gauge32: 4381880 .1.3.6.1.4.1.9.9.826.1.71.9.1.6.83019 = Gauge32: 45435580 .1.3.6.1.4.1.9.9.826.1.71.9.1.6.83020 = Gauge32: 131525560 .1.3.6.1.4.1.9.9.826.1.71.9.1.7.83016 = STRING: "/mnt/boot" .1.3.6.1.4.1.9.9.826.1.71.9.1.7.83017 = STRING: "/opt/cisco/config" .1.3.6.1.4.1.9.9.826.1.71.9.1.7.83018 = STRING: "/opt/cisco/platform/logs" .1.3.6.1.4.1.9.9.826.1.71.9.1.7.83019 = STRING: "/var/data/cores" .1.3.6.1.4.1.9.9.826.1.71.9.1.7.83020 = STRING: "/opt/cisco/csp" .1.3.6.1.4.1.9.9.826.1.71.9.1.8.83016 = Gauge32: 7796848 .1.3.6.1.4.1.9.9.826.1.71.9.1.8.83017 = Gauge32: 1923084 .1.3.6.1.4.1.9.9.826.1.71.9.1.8.83018 = Gauge32: 4805760 .1.3.6.1.4.1.9.9.826.1.71.9.1.8.83019 = Gauge32: 48061320 .1.3.6.1.4.1.9.9.826.1.71.9.1.8.83020 = Gauge32: 131773580 .1.3.6.1.4.1.9.9.826.1.71.9.1.9.83016 = Gauge32: 97336 .1.3.6.1.4.1.9.9.826.1.71.9.1.9.83017 = Gauge32: 38328 .1.3.6.1.4.1.9.9.826.1.71.9.1.9.83018 = Gauge32: 179760 .1.3.6.1.4.1.9.9.826.1.71.9.1.9.83019 = Gauge32: 184320 .1.3.6.1.4.1.9.9.826.1.71.9.1.9.83020 = Gauge32: 248020          参考情報 FXOS: FPR2100/4100/9300シリーズ FXOS用のMIBファイルと、SNMP監視・トラップ https://supportforums.cisco.com/t5/-/-/ta-p/3389878   ファイアウォール トラブルシューティング https://supportforums.cisco.com/t5/-/-/ta-p/3161736 ... View more