Megosztás a következőn keresztül:

Az ATA ismert hibáinak elhárítása

A következőkre vonatkozik: Advanced Threat Analytics 1.9-es verzió

Ez a szakasz az ATA üzembe helyezésével kapcsolatos lehetséges hibákat és a hibaelhárításukhoz szükséges lépéseket ismerteti.

Az ATA-átjáróval és az egyszerűsített átjáróval kapcsolatos hibák

Hiba Leírás Megoldás
System.DirectoryServices.Protocols.LdapException: Helyi hiba történt Az ATA-átjáró hitelesítése nem sikerült a tartományvezérlőn. 1. Ellenőrizze, hogy a tartományvezérlő DNS-rekordja megfelelően van-e konfigurálva a DNS-kiszolgálón.
2. Ellenőrizze, hogy az ATA-átjáró időpontja szinkronizálva van-e a tartományvezérlő idejével.
System.IdentityModel.Tokens.SecurityTokenValidationException: Nem sikerült ellenőrizni a tanúsítványláncot Az ATA-átjáró nem tudta ellenőrizni az ATA-központ tanúsítványát. 1. Ellenőrizze, hogy a legfelső szintű hitelesítésszolgáltatói tanúsítvány telepítve van-e az ATA-átjáró megbízható hitelesítésszolgáltatói tanúsítványtárolójában.
2. Ellenőrizze, hogy a visszavont tanúsítványok listája (CRL) elérhető-e, és hogy a visszavont tanúsítványok érvényesítése végrehajtható-e.
Microsoft.Common.ExtendedException: Nem sikerült elemezni a létrehozott időt Az ATA-átjáró nem tudta elemezni az SIEM-ből továbbított syslog-üzeneteket. Ellenőrizze, hogy az SIEM úgy van-e konfigurálva, hogy az ATA által támogatott formátumok egyikében továbbítsa az üzeneteket.
System.ServiceModel.FaultException: Hiba történt az üzenet biztonságának ellenőrzésekor. Az ATA-átjáró hitelesítése nem sikerült az ATA-központban. Ellenőrizze, hogy az ATA-átjáró időpontja szinkronizálva van-e az ATA-központ idejével.
System.ServiceModel.EndpointNotFoundException: Nem sikerült csatlakozni a következőhöz: net.tcp://center.ip.addr:443/IEntityReceiver Az ATA-átjáró nem tudott kapcsolatot létesíteni az ATA-központtal. Győződjön meg arról, hogy a hálózati beállítások helyesek, és hogy az ATA-átjáró és az ATA-központ közötti hálózati kapcsolat aktív.
System.DirectoryServices.Protocols.LdapException: Az LDAP-kiszolgáló nem érhető el. Az ATA-átjáró nem tudta lekérdezni a tartományvezérlőt az LDAP protokoll használatával. 1. Ellenőrizze, hogy az ATA által az Active Directory-tartományhoz való csatlakozáshoz használt felhasználói fiók rendelkezik-e olvasási hozzáféréssel az Active Directory-fa összes objektumához.
2. Győződjön meg arról, hogy a tartományvezérlő nincs megerősítve, hogy megakadályozza az LDAP-lekérdezéseket az ATA által használt felhasználói fiókból.
Microsoft.Tri.Infrastructure.ContractException: Szerződéskivétel Az ATA-átjáró nem tudta szinkronizálni a konfigurációt az ATA-központból. Az ATA-átjáró teljes konfigurációja az ATA-konzolon.
System.Reflection.ReflectionTypeLoadException: Nem lehet betölteni egy vagy több kért típust. További információért kérje le a LoaderExceptions tulajdonságot. Az Üzenetelemző telepítve van az ATA-átjárón. Távolítsa el az Üzenetelemzőt.
[Layout] System.OutOfMemoryException hiba: A rendszer a System.OutOfMemoryException típus kivételét észlelte. Az ATA-átjáró nem rendelkezik elegendő memóriával. Növelje a memória mennyiségét a tartományvezérlőn.
Nem sikerült elindítani az élő fogyasztót ---> Microsoft.Opn.Runtime.Monitoring.MessageSessionException: A PEFNDIS eseményszolgáltató nem áll készen A PEF (Message Analyzer) nincs megfelelően telepítve. Ha Hyper-V-t használ, próbálja meg másként frissíteni a Hyper-V integrációs szolgáltatásokat, kerülő megoldásért forduljon az ügyfélszolgálathoz.
A telepítés a következő hibával meghiúsult: 0x80070652 A számítógépen további függőben lévő telepítések is vannak. Várja meg, amíg a többi telepítés befejeződik, és szükség esetén indítsa újra a számítógépet.
System.InvalidOperationException: A "Microsoft.Tri.Gateway" példány nem létezik a megadott kategóriában. A PID-k engedélyezve lett a folyamatnevekhez az ATA-átjáróban Lásd: Duplikált példánynevek kezelése a piD-k folyamatnevekben való letiltásához
'System.InvalidOperationException: A kategória nem létezik. Előfordulhat, hogy a számlálók le vannak tiltva a beállításjegyzékben Teljesítményszámlálók újraépítése KB2554336 használatával
System.ApplicationException: Nem indítható el az ETW-munkamenet MMA-ETW-Livecapture-a4f595bd-f567-49a7-b963-20fa4e370329 A HOSTS fájlban van egy állomásbejegyzés, amely a gép rövid nevére mutat Távolítsa el a gazdagépbejegyzést a C:\Windows\System32\drivers\etc\HOSTS fájlból, vagy módosítsa teljes tartománynévre.
System.IO.IOException: A hitelesítés nem sikerült, mert a távoli fél bezárta az átviteli adatfolyamot, vagy nem tudott SSL/TLS biztonságos csatornát létrehozni A TLS 1.0 le van tiltva az ATA-átjárón, de a .Net a TLS 1.2 használatára van beállítva Engedélyezze a TLS 1.2 for .Net-et úgy, hogy a beállításkulcsokat úgy állítja be, hogy az ssl és a TLS alapértelmezett operációs rendszerét használják, az alábbiak szerint:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319] "SchUseStrongCrypto"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319] " SchUseStrongCrypto"=dword:00000001
System.TypeLoadException: Nem sikerült betölteni a Microsoft.Opn.Runtime.Values.BinaryValueBufferManager típust a "Microsoft.Opn.Runtime, Version=4.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35" szerelvényből Az ATA-átjáró nem tudta betölteni a szükséges elemzési fájlokat. Ellenőrizze, hogy a Microsoft Message Analyzer telepítve van-e. Az Üzenetelemző nem telepíthető az ATA-átjáróval/egyszerűsített átjáróval. Távolítsa el az Üzenetelemzőt, és indítsa újra az átjárószolgáltatást.
System.Net.WebException: A távoli kiszolgáló hibát adott vissza: (407) Proxyhitelesítés szükséges Az ATA-átjáró és az ATA-központ közötti kommunikációt egy proxykiszolgáló megszakítja. Tiltsa le a proxyt az ATA-átjárót tartalmazó gépen.

Vegye figyelembe, hogy a proxybeállítások fiókonként lehetnek.
System.IO.DirectoryNotFoundException: A rendszer nem találja a megadott elérési utat. (Kivétel a HRESULT-ból: 0x80070003) Az ATA működtetéséhez szükséges egy vagy több szolgáltatás nem indult el. Indítsa el a következő szolgáltatásokat:

Teljesítménynaplók és riasztások (PLA), Feladatütemező (Ütemezés).
System.Net.WebException: A távoli kiszolgáló hibát adott vissza: (403) Tiltott Az ATA-átjáró vagy az egyszerűsített átjáró nem tudott HTTP-kapcsolatot létesíteni, mert az ATA-központ nem megbízható. Adja hozzá az ATA-központ NetBIOS-nevét és teljes tartománynevét a megbízható webhelyek listájához, és törölje a gyorsítótárat az Internet Explorerben (vagy a konfigurációban megadott ATA-központ nevét, ha a konfigurált név eltér a NetBIOS/FQDN-étől).
System.Net.Http.HttpRequestException: A PostAsync nem sikerült [requestTypeName=StopNetEventSessionRequest] Az ATA-átjáró vagy az egyszerűsített ATA-átjáró nem tudja leállítani és elindítani azt az ETW-munkamenetet, amely WMI-probléma miatt hálózati forgalmat gyűjt A WMI-probléma megoldásához kövesse a WMI: A WMI-adattár újraépítése című témakör utasításait
System.Net.Sockets.SocketException: A szoftvercsatornák elérésére tett kísérlet a hozzáférési engedélyei által tiltott módon történt Egy másik alkalmazás az 514-es portot használja az ATA-átjárón A használatával netstat -o állapíthatja meg, hogy melyik folyamat használja ezt a portot.

Üzembehelyezési hibák

Hiba Leírás Megoldás
A .NET-keretrendszer 4.6.1-ben történő telepítése 0x800713ec hibával meghiúsul A .Net Framework 4.6.1 előfeltételei nincsenek telepítve a kiszolgálón. Az ATA telepítése előtt ellenőrizze, hogy a Windows-frissítések KB2919442 és KB2919355 telepítve vannak-e a kiszolgálón.
System.Threading.Tasks.TaskCanceledException: Egy tevékenység megszakadt Az üzembehelyezési folyamat túllépte az időkorlátot, mert nem tudta elérni az ATA-központot. 1. Ellenőrizze az ATA-központ hálózati kapcsolatát az IP-címével való tallózással.

2. Ellenőrizze, hogy van-e proxy- vagy tűzfalkonfiguráció.
System.Net.Http.HttpRequestException: Hiba történt a kérés küldése közben. >--- System.Net.WebException: A távoli kiszolgáló hibát adott vissza: (407) Proxyhitelesítés szükséges. Az üzembehelyezési folyamat túllépte az időkorlátot, mivel a proxy helytelen konfigurációja miatt nem tudta elérni az ATA-központot. Tiltsa le a proxykonfigurációt az üzembe helyezés előtt, majd engedélyezze újra a proxykonfigurációt. Másik lehetőségként konfigurálhat egy kivételt a proxyban.
System.Net.Sockets.SocketException: A távoli gazdagép kényszerített módon bezárt egy meglévő kapcsolatot Engedélyezze a TLS 1.2 for .Net-et úgy, hogy a beállításkulcsokat úgy állítja be, hogy az ssl és a TLS alapértelmezett operációs rendszerét használják, az alábbiak szerint:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319] "SchUseStrongCrypto"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319] "SchUseStrongCrypto"=dword:00000001
Hiba [\[]DeploymentModel[\]] Sikertelen felügyeleti hitelesítés [\[]CurrentlyLoggedOnUser=<domain>\<username>Status=FailedAuthentication Exception=[\]] Az ATA-átjáró vagy az egyszerűsített ATA-átjáró üzembehelyezési folyamata nem tudott sikeresen hitelesíteni az ATA-központban Nyisson meg egy böngészőt arról a gépről, amelyen az üzembehelyezési folyamat sikertelen volt, és ellenőrizze, hogy el tudja-e érni az ATA-konzolt.
Ha nem, kezdje el a hibaelhárítást, és ellenőrizze, hogy a böngésző miért nem tud hitelesítést végezni az ATA-központban.
Ellenőrizendő szempontok:
Proxykonfiguráció
– Hálózati problémák
Csoportházirend-beállítások a hitelesítéshez azon a gépen, amely eltér az ATA-központtól.
Hiba [\[]DeploymentModel[\]] Sikertelen felügyeleti hitelesítés A középső tanúsítvány érvényesítése nem sikerült Előfordulhat, hogy a centertanúsítványhoz internetkapcsolatra van szükség az ellenőrzéshez. Győződjön meg arról, hogy az átjárószolgáltatás megfelelő proxykonfigurációval rendelkezik a kapcsolat és az ellenőrzés engedélyezéséhez.
A központ üzembe helyezésekor és a tanúsítvány kiválasztásakor a rendszer "Nem támogatott" hibát jelez Ez akkor fordulhat elő, ha a kiválasztott tanúsítvány nem felel meg a követelményeknek, vagy a tanúsítvány titkos kulcsa nem érhető el. Győződjön meg arról, hogy emelt szintű jogosultságokkal futtatja az üzemelő példányt (futtatás rendszergazdaként), és hogy a kiválasztott tanúsítvány megfelel-e a követelményeknek.

Az ATA-központ hibái

Hiba Leírás Megoldás
System.Security.Cryptography.CryptographicException: Hozzáférés megtagadva. Az ATA-központ nem tudta használni a kiadott tanúsítványt a visszafejtéshez. Ez valószínűleg azért történt, mert a KeyExchange (AT\_KEYEXCHANGE) használata helyett a KeyExchange (AT\_KEYEXCHANGE) használata helyett aláírás (AT\_SIGNATURE) értékre állított tanúsítványt használ. 1. Állítsa le az ATA-központ szolgáltatást.

2. Törölje az ATA-központ tanúsítványát a központ tanúsítványtárolójából. (A törlés előtt győződjön meg arról, hogy a tanúsítványról biztonsági másolatot készít a PFX-fájl titkos kulcsával.)

3. Nyisson meg egy emelt szintű parancssort, és futtassa a certutil -importpfx "CenterCertificate.pfx" AT\_KEYEXCHANGE

4. Indítsa el az ATA-központ szolgáltatást.

5. Ellenőrizze, hogy minden a várt módon működik-e.

Az ATA-átjáróval és az egyszerűsített átjáróval kapcsolatos problémák

Probléma Leírás Megoldás
Nem érkezik forgalom a tartományvezérlőről, de állapotriasztások figyelhetők meg Nem érkezett forgalom egy tartományvezérlőről porttükrözéssel egy ATA-átjárón keresztül Az ATA-átjáró rögzítési hálózati adapterén tiltsa le ezeket a funkciókat a Speciális beállítások területen:

Fogadási szegmensek eszmélése (IPv4)

Fogadási szegmensek eszmélése (IPv6)
Ez az állapotriasztás jelenik meg: A rendszer nem elemzi a hálózati forgalmat Ha ATA-átjáróval vagy egyszerűsített átjáróval rendelkezik VMware virtuális gépeken, előfordulhat, hogy ez az állapotriasztás jelenik meg. Ez a VMware konfigurációs eltérése miatt fordul elő. Állítsa a következő beállításokat 0-ra vagy Letiltva értékre a virtuális gép hálózati adapterének konfigurációjában: TsoEnable, LargeSendOffload, TSO Offload, Giant TSO Offload

Többprocesszoros csoport mód

Windows 2008R2 és 2012 operációs rendszerek esetén az ATA-átjáró nem támogatott többprocesszoros csoport módban.

Javasolt lehetséges megkerülő megoldások:

  • Ha a hyperthreading be van kapcsolva, kapcsolja ki. Ez csökkentheti a logikai magok számát ahhoz, hogy ne kelljen több processzorcsoportos módban futnia.

  • Ha a gép kevesebb mint 64 logikai maggal rendelkezik, és HP-gazdagépen fut, lehetséges, hogy módosíthatja a NUMA-csoportméret-optimalizálási BIOS beállítást az alapértelmezett Fürtözött értékről egybesimítottra.

Lásd még