Nota:
El acceso a esta página requiere autorización. Puede intentar iniciar sesión o cambiar directorios.
El acceso a esta página requiere autorización. Puede intentar cambiar los directorios.
Se aplica a: Advanced Threat Analytics versión 1.9
El Centro de Salud de ATA le notifica cuando hay un problema con la implementación de ATA mediante la generación de una alerta de salud. En este artículo se describen todas las alertas de estado de cada componente, donde se enumeran la causa y los pasos necesarios para resolver el problema.
Problemas del Centro ATA
Centro sin espacio en disco
| Alert | Descripción | Resolution | Severity |
|---|---|---|---|
| El espacio libre en el disco del Centro ATA que se utiliza para almacenar la base de datos de ATA se está agotando. | Esto significa que el disco duro tiene menos de 200 GB de espacio libre o que hay menos de 20% espacio libre, lo que sea menor. Cuando ATA reconoce que el disco tiene poco espacio disponible, comienza a eliminar datos antiguos de la base de datos. Si no puede eliminar datos antiguos porque todavía necesita los datos para el motor de detección, recibirá esta alerta. Cuando reciba esta alerta, ATA deja de realizar un seguimiento de las nuevas actividades. | Aumente el tamaño de la unidad o libere espacio en esa unidad. | Alto |
Error al enviar correo
| Alert | Descripción | Resolution | Severity |
|---|---|---|---|
| ATA No se pudo enviar una notificación por correo electrónico al servidor de correo especificado. | No se envía ningún mensaje de correo electrónico desde ATA. | Compruebe la configuración del servidor SMTP. | Low |
Centro sobrecargado
| Alert | Descripción | Resolution | Severity |
|---|---|---|---|
| El Centro ATA no puede controlar la cantidad de datos que se transfieren desde las puertas de enlace de ATA. | El Centro ATA deja de analizar el nuevo tráfico de red y eventos. Esto significa que la precisión de las detecciones y perfiles se reduce mientras esta alerta de estado está activa. | Asegúrese de proporcionar suficientes recursos para el Centro ATA. Para obtener más información, consulte Planeamiento de la capacidad de ATA. Investigue el rendimiento del Centro ATA mediante la solución de problemas de ATA mediante los contadores de rendimiento. | Alto |
Error al conectarse al servidor SIEM mediante Syslog
| Alert | Descripción | Resolution | Severity |
|---|---|---|---|
| ATA no pudo enviar eventos al SIEM especificado. | Esto significa que el Centro ATA no puede enviar actividades sospechosas y alertas de estado a su SIEM. | Asegúrese de que la configuración del servidor de Syslog esté configurada correctamente. | Low |
El certificado del centro está a punto de expirar
| Alert | Descripción | Resolution | Severity |
|---|---|---|---|
| El certificado del Centro ATA expirará en menos de 3 semanas. | Una vez expirado el certificado: se produce un error en la conectividad de las puertas de enlace de ATA al Centro ATA. El proceso del Centro ATA fallará y toda la funcionalidad de ATA se detendrá. | Reemplazar el certificado del Centro ATA | Medium |
El certificado del Centro ATA ha expirado
| Alert | Descripción | Resolution | Severity |
|---|---|---|---|
| El certificado del Centro ATA expiró. | Una vez expirado el certificado: se produce un error en la conectividad de las puertas de enlace de ATA al Centro ATA. El proceso del Centro ATA se bloquea y toda la funcionalidad de ATA se detiene. | Reimplementación del Centro ATA | Alto |
Problemas de puerta de enlace de ATA
Contraseña de usuario de solo lectura para expirar en breve
| Alert | Descripción | Resolution | Severity |
|---|---|---|---|
| La contraseña de usuario de solo lectura, que se usa para realizar la resolución de entidades en Active Directory, está a punto de expirar en menos de 30 días. | Si la contraseña de este usuario expira, todas las puertas de enlace de ATA dejan de ejecutarse y no se recopilan nuevos datos. | Cambie la contraseña de conectividad de dominio y actualice la contraseña en la consola de ATA. | Medium |
Contraseña de usuario de solo lectura expirada
| Alert | Descripción | Resolution | Severity |
|---|---|---|---|
| La contraseña de usuario de solo lectura, que se usa para obtener datos de directorio, ha expirado. | Todas las puertas de enlace de ATA dejan de ejecutarse (o dejarán de ejecutarse pronto) y no se recopilarán nuevos datos. | Cambie la contraseña de conectividad de dominio y actualice la contraseña en la consola de ATA. | Alto |
Certificado de puerta de enlace a punto de expirar
| Alert | Descripción | Resolution | Severity |
|---|---|---|---|
| El certificado de puerta de enlace de ATA expirará en menos de 3 semanas. | Se produce un error en la conectividad desde la puerta de enlace de ATA específica al Centro ATA. No se envían datos de esa puerta de enlace de ATA. | El certificado de puerta de enlace de ATA debe haberse renovado automáticamente. Lea los registros del Gateway de ATA y del Centro de ATA, para comprender por qué ese certificado no renovó automáticamente. | Medium |
Certificado de puerta de enlace expirado
| Alert | Descripción | Resolution | Severity |
|---|---|---|---|
| El certificado de puerta de enlace de ATA expiró. | No hay conectividad desde esta puerta de enlace de ATA al Centro ATA. No se envían datos de esa puerta de enlace de ATA. | Desinstale y vuelva a instalar la puerta de enlace de ATA. | Alto |
Sincronizador de dominio no asignado
| Alert | Descripción | Resolution | Severity |
|---|---|---|---|
| No se asigna ningún sincronizador de dominio a ninguna puerta de enlace de ATA. Esto puede ocurrir si no hay ningún ATA Gateway configurado como candidato para sincronizador de dominio. | Cuando el dominio no está sincronizado, los cambios en las entidades pueden hacer que la información de entidad de ATA no esté actualizada o que falte, pero no afecta a ninguna detección. | Asegúrese de que al menos una puerta de enlace de ATA esté establecida como sincronizador de dominio. | Low |
Todos o algunos de los adaptadores de red de captura en un Gateway no están disponibles
| Alert | Descripción | Resolution | Severity |
|---|---|---|---|
| Todos o algunos de los adaptadores de red de captura seleccionados en la puerta de enlace de ATA están deshabilitados o desconectados. | La puerta de enlace de ATA ya no captura el tráfico de red para algunos o todos los controladores de dominio. Esto afecta a la capacidad de detectar actividades sospechosas, relacionadas con esos controladores de dominio. | Asegúrese de que estos adaptadores de red de captura seleccionados en la puerta de enlace de ATA están habilitados y conectados. | Medium |
Algunos controladores de dominio no son accesibles por una puerta de enlace
| Alert | Descripción | Resolution | Severity |
|---|---|---|---|
| Una puerta de enlace de ATA tiene una funcionalidad limitada debido a problemas de conectividad con algunos de los controladores de dominio configurados. | La detección de 'Pass the Hash' podría ser menos precisa cuando el Gateway de ATA no puede consultar ciertos controladores de dominio. | Asegúrese de que los controladores de dominio están en funcionamiento y de que esta puerta de enlace de ATA puede abrir conexiones LDAP a ellos. | Medium |
Todos los controladores de dominio no son accesibles por una puerta de enlace
| Alert | Descripción | Resolution | Severity |
|---|---|---|---|
| La Gateway ATA está sin conexión debido a problemas de conectividad con todos los controladores de dominio configurados. | Esto afecta a la capacidad de ATA de detectar actividades sospechosas relacionadas con controladores de dominio supervisados por esta puerta de enlace de ATA. | Asegúrese de que los controladores de dominio están en funcionamiento y de que esta puerta de enlace de ATA puede abrir conexiones LDAP a ellos. | Medium |
La puerta de enlace dejó de comunicarse
| Alert | Descripción | Resolution | Severity |
|---|---|---|---|
| No se ha producido ninguna comunicación desde la puerta de enlace de ATA. El intervalo de tiempo predeterminado para esta alerta es de 5 minutos. | El adaptador de red ya no captura el tráfico de red en la puerta de enlace de ATA. Esto afecta a la capacidad de ATA para detectar actividades sospechosas, ya que el tráfico de red no podrá acceder al Centro ATA. | Compruebe que el puerto usado para la comunicación entre la puerta de enlace de ATA y el servicio del Centro ATA no está bloqueado por ningún enrutador o firewall. | Medium |
No se recibe tráfico del controlador de dominio
| Alert | Descripción | Resolution | Severity |
|---|---|---|---|
| No se recibió tráfico del controlador de dominio a través de esta puerta de enlace de ATA. | Esto podría indicar que la duplicación de puertos desde los controladores de dominio a la puerta de enlace ATA aún no está configurada o no funciona. | Compruebe que el mirroring de puertos está configurado correctamente en los dispositivos de red. En la NIC de captura de la pasarela ATA, deshabilite estas características en la Configuración avanzada: Aglutinación de segmentos de recepción (IPv4) Fusión de segmentos de recepción (IPv6) |
Medium |
Algunos eventos reenviados no se están analizando
| Alert | Descripción | Resolution | Severity |
|---|---|---|---|
| La puerta de enlace de ATA recibe más eventos de los que puede procesar. | Algunos eventos reenviados no se están analizando, lo que puede afectar a la capacidad de detectar actividades sospechosas que se originan en controladores de dominio supervisados por esta puerta de enlace de ATA. | Compruebe que solo los eventos necesarios se reenvieron a la puerta de enlace de ATA o intente reenviar algunos de los eventos a otra puerta de enlace de ATA. | Medium |
No se está analizando el tráfico de red
| Alert | Descripción | Resolution | Severity |
|---|---|---|---|
| La puerta de enlace de ATA recibe más tráfico de red de lo que puede procesar. | No se está analizando el tráfico de red, lo que puede afectar a la capacidad de detectar actividades sospechosas que se originan en controladores de dominio supervisados por esta puerta de enlace de ATA. | Considere la posibilidad de agregar procesadores y memoria adicionales según sea necesario. Si se trata de una puerta de enlace de ATA independiente, reduzca el número de controladores de dominio que se supervisan. Esto también puede ocurrir si usa controladores de dominio en máquinas virtuales de VMware. Para evitar estas alertas, puede comprobar que la siguiente configuración está establecida en 0 o Deshabilitada en la máquina virtual: - TsoEnable - LargeSendOffload(IPv4) - Descarga de TSO IPv4 Además, considere la posibilidad de deshabilitar la función de descarga masiva TSO de IPv4. Para obtener más información, consulte la documentación de VMware. |
Medium |
Versión de puerta de enlace obsoleta
| Alert | Descripción | Resolution | Severity |
|---|---|---|---|
| El Centro ATA es más reciente que la versión instalada en el Gateway de ATA. Esto hace que la puerta de enlace de ATA deje de funcionar según lo previsto. | Esto puede afectar a la capacidad de detectar actividades sospechosas que se originan en controladores de dominio supervisados por esta puerta de enlace de ATA. | Actualice automáticamente la puerta de enlace de ATA a la versión más reciente habilitando la actualización automática en la consola de ATA o descargando el paquete de puerta de enlace de ATA más reciente disponible en la consola de ATA. | Alto |
No se pudo iniciar el servicio de puerta de enlace
| Alert | Descripción | Resolution | Severity |
|---|---|---|---|
| El servicio de puerta de enlace de ATA no se pudo iniciar durante al menos 30 minutos. | Esto puede afectar a la capacidad de detectar actividades sospechosas que se originan en controladores de dominio supervisados por esta puerta de enlace de ATA. | Supervise los registros de puerta de enlace de ATA para comprender la causa principal del error del servicio de puerta de enlace de ATA. | Alto |
Puerta de enlace ligera
La puerta de enlace ligera alcanzó un límite de recursos de memoria
| Alert | Descripción | Resolution | Severity |
|---|---|---|---|
| La puerta de enlace ligera de ATA se detuvo y se reiniciará automáticamente para proteger el controlador de dominio de una condición de memoria baja. | La puerta de enlace ligera de ATA aplica limitaciones de memoria sobre sí mismas para evitar que el controlador de dominio experimente limitaciones de recursos. Esto sucede cuando el uso de memoria en el controlador de dominio es alto. Los datos de este controlador de dominio solo se supervisan parcialmente. | Aumente la cantidad de memoria (RAM) en el controlador de dominio o agregue más controladores de dominio en este sitio para distribuir mejor la carga de este controlador de dominio. | Medium |