了解 ATA 运行状况警报

  • 项目

适用于：高级威胁分析版本 1.9

ATA 运行状况中心通过发出运行状况警报，告知你 ATA 部署何时出现问题。 本文介绍每个组件的所有运行状况警报，列出相关原因和解决问题所需的步骤。

ATA 中心的问题

中心磁盘空间不足

Alert 说明 解决方案 Severity
ATA 中心用于存储 ATA 数据库的计算机驱动器中的可用空间越来越少。 这意味着硬盘驱动器上的可用空间小于 200 GB，或者可用空间小于 20%，以较小者为准。 当 ATA 识别到驱动器的空间不足时，它会开始从数据库中删除旧数据。 如果它因仍需检测引擎数据而无法删除旧数据，你会收到此警报。 收到此警报时，ATA 会停止对新活动的跟踪。 增加驱动器大小或释放驱动器上的空间。 高

发送邮件时出错

Alert 说明 解决方案 Severity
ATA 无法向指定的邮件服务器发送电子邮件通知。 ATA 不会发送电子邮件。 验证 SMTP 服务器配置 低

中心重载

Alert 说明 解决方案 Severity
ATA 中心无法处理从 ATA 网关传输的数据量。 ATA 中心停止分析新的网络流量和事件。 这意味着，在此运行状况警报处于活动状态时，检测和配置文件的准确度会降低。 请务必为 ATA 中心提供足够的资源。 有关如何正确规划 ATA 中心容量的详细信息，请参阅 ATA 容量计划。 借助使用性能计数器对 ATA 进行故障排除，调查 ATA 中心的性能。 高

使用 Syslog 连接到 SIEM 服务器失败

警报 说明 解决方案 Severity
ATA 无法将事件发送给指定的 SIEM。 这意味着 ATA 中心无法将可疑活动和运行状况警报发送给 SIEM。 请务必正确配置 Syslog 服务器设置。 低

中心的证书即将过期

警报 说明 解决方案 Severity
ATA 中心的证书将在 3 周内过期。 证书过期后：ATA 网关与 ATA 中心之间的连接将失效。 ATA 中心的进程将崩溃，且 ATA 的所有功能都将停止。 替换 ATA 中心的证书 中

ATA 中心的证书已过期

警报 说明 解决方案 Severity
ATA 中心的证书已过期。 证书过期后：ATA 网关与 ATA 中心之间的连接失效。 ATA 中心的进程崩溃，且 ATA 的所有功能停止。 重新部署 ATA 中心 高

ATA 网关的问题

只读用户密码即将过期

警报 说明 解决方案 Severity
用于针对 Active Directory 进行实体解析的只读用户密码将在 30 天内过期。 如果此用户的密码过期，则所有 ATA 网关都将停止运行，且不会收集任何新数据。 更改域连接密码，然后在 ATA 控制台中更新密码。 中

只读用户密码已过期

警报 说明 解决方案 Severity
用于获取目录数据的只读用户密码已过期。 所有 ATA 网关停止运行（或即将停止运行），且不会收集任何新数据。 更改域连接密码，然后在 ATA 控制台中更新密码。 高

网关的证书即将过期

Alert 说明 解决方案 Severity
ATA 网关的证书将在 3 周内过期。 特定 ATA 网关与 ATA 中心之间的连接失效。 来自该 ATA 网关的数据不会被发送。 ATA 网关的证书应已自动续订。 读取 ATA 网关和 ATA 中心的日志，了解证书未自动续订的原因。 中

网关的证书已过期

警报 说明 解决方案 Severity
ATA 网关的证书已过期。 此 ATA 网关与 ATA 中心之间没有连接。 来自该 ATA 网关的数据不会被发送。 卸载并重新安装 ATA 网关。 高

未分配域同步器

警报 说明 解决方案 Severity
未将域同步器分配给任何 ATA 网关。 如果没有将 ATA 网关配置为域同步器的候选项，则可能会发生这种情况。 当域未同步时，对实体的更改可能会导致 ATA 中的实体信息过期或丢失，但不会对检测造成任何影响。 请务必至少将一个 ATA 网关设置为域同步器。 低

网关上的全部/部分捕获网络适配器不可用

警报 说明 解决方案 Severity
ATA 网关上的全部/部分选中的捕获网络适配器已被禁用或已断开连接。 ATA 网关不再捕获部分/全部域控制器的网络流量。 这会影响检测与这些域控制器相关的可疑活动的能力。 请确保 ATA 网关上的这些选定的捕获网络适配器已被启用且已连接。 中

网关无法访问部分域控制器

警报 说明 解决方案 Severity
由于与某些已配置域控制器存在连接问题，因此 ATA 网关的功能有限。 当 ATA 网关无法查询部分域控制器时，哈希传递检测可能就不太准确。 请确保域控制器正常运行，且此 ATA 网关可以打开指向它们的 LDAP 连接。 中

网关无法访问所有域控制器

警报 说明 解决方案 Severity
由于与所有已配置域控制器存在连接问题，ATA 网关当前处于脱机状态。 这会影响 ATA 检测与此 ATA 网关所监视的域控制器相关的可疑活动的能力。 请确保域控制器正常运行，且此 ATA 网关可以打开指向它们的 LDAP 连接。 中

网关停止通信

警报 说明 解决方案 Severity
没有来自 ATA 网关的通信。 此警报的默认时间跨度为 5 分钟。 ATA 网关上的网络适配器不再捕获网络流量。 这会影响 ATA 检测可疑活动的能力，因为网络流量将无法到达 ATA 中心。 确保用于在 ATA 网关和 ATA 中心服务之间进行通信的端口没有被路由器或防火墙阻塞。 中

没有从域控制器接收到流量

警报 说明 解决方案 Severity
没有通过此 ATA 网关接收到来自域控制器的流量。 这可能表明尚未配置从域控制器到 ATA 网关的端口镜像或无法正常工作。 确保网络设备上已正确配置端口镜像。

在 ATA 网关捕获 NIC 上，在“高级设置”中禁用这些功能：

接收段合并 (IPv4)

接收段合并 (IPv6)		 中

部分转发事件没有被分析

Alert 说明 解决方案 Severity
ATA 网关接收的事件数超过了它的处理能力。 部分转发事件没有被分析，这可能会影响检测源自此 ATA 网关监视的域控制器的可疑活动的能力。 确认仅将必要的事件转发到 ATA 网关，或尝试将一些事件转发给另一个 ATA 网关。 中

部分网络流量没有被分析

Alert 说明 解决方案 Severity
ATA 网关接收的网络流量超过了它的处理能力。 部分网络流量没有被分析，这可能会影响检测源自此 ATA 网关监视的域控制器的可疑活动的能力。 请考虑根据需要添加额外的处理器和内存。 如果这是一个独立的 ATA 网关，请减少要监视的域控制器的数量。

如果在 VMware 虚拟机上使用域控制器，也可能会发生这种情况。 要避免这些警报，可以检查虚拟机中的以下设置是否已设置为 0 或“禁用”：

– TsoEnable

– LargeSendOffload(IPv4)

– IPv4 TSO 卸载

另请考虑禁用 IPv4 Giant TSO 卸载。 有关详细信息，请参阅 VMware 文档。		 中

网关版本已过时

Alert 说明 解决方案 Severity
ATA 中心的版本高于 ATA 网关上安装的版本。 这会导致 ATA 网关不再按预期运行。 这可能会影响检测源自此 ATA 网关监视的域控制器的可疑活动的能力。 通过在 ATA 控制台中启用自动更新功能，或下载 ATA 控制台中提供的最新 ATA 网关包，自动将 ATA 网关更新到最新版本。 高

网关服务未能启动

Alert 说明 解决方案 Severity
ATA 网关服务至少 30 分钟无法启动。 这可能会影响检测源自此 ATA 网关监视的域控制器的可疑活动的能力。 监视 ATA 网关的日志，了解 ATA 网关服务失败的根本原因。 高

轻型网关

轻型网关达到内存资源限制

警报 说明 解决方案 Severity
轻型 ATA 网关会自动停止并重新启动，以保护域控制器免受内存不足情况的影响。 轻型 ATA 网关会对自身实施内存限制，以防止域控制器遇到资源限制问题。 当域控制器上的内存使用率较高时，就会发生这种情况。 此域控制器中仅有部分数据受到监视。 请增加域控制器上的内存 (RAM) 量或在此站点中添加更多域控制器，以便更好地分配此域控制器的负载。 中

另请参阅