Behandeln von Problemen mit dem Sensor

Dieser Artikel beschreibt grundlegende Hilfsmittel zur Problembehandlung für den Sensor. Zusätzlich zu den hier beschriebenen Elementen können Sie die Integrität Ihres Systems wie folgt überprüfen:

• Warnungen: Eine Warnung wird erstellt, wenn die Sensorschnittstelle, die den Datenverkehr überwacht, nicht mehr angezeigt wird.
• SNMP: Die Sensorintegrität wird über SNMP überwacht. Microsoft Defender für IoT antwortet auf SNMP-Abfragen, die von einem autorisierten Überwachungsserver gesendet wurden.
• Systembenachrichtigungen: Wenn der Sensor von einer Verwaltungskonsole gesteuert wird, können Sie Warnungen über fehlgeschlagene Sensorsicherungen und getrennte Sensoren weiterleiten.

Wenden Sie sich bei allen anderen Problemen an den Microsoft Support.

Voraussetzungen

Bevor Sie die Verfahren in diesem Artikel ausführen, stellen Sie sicher, dass Sie über Folgendes verfügen:

• Zugriff auf den OT-Netzwerksensor als standardmäßiger Administratorbenutzer. Weitere Informationen finden Sie unter Standardmäßig berechtigte, lokale Benutzer.

Überprüfen des Sensors: Probleme mit der Cloudkonnektivität

OT-Sensoren führen automatisch Konnektivitätsprüfungen durch, um sicherzustellen, dass Ihr Sensor Zugriff auf alle erforderlichen Endpunkte hat. Wenn ein Sensor nicht verbunden ist, wird im Azure-Portal, auf der Seite Standorte und Sensoren und auf der Seite Übersicht des Sensors ein Fehler angezeigt. Zum Beispiel:

```

Auf der Seite Behandlung von Cloud-Konnektivitätsproblemen in Ihrem OT-Sensor erfahren Sie mehr über den aufgetretenen Fehler und die empfohlenen Maßnahmen, die Sie ergreifen können.

Um Konnektivitätsfehler zu beheben, melden Sie sich bei Ihrem OT-Sensor an, und führen Sie eine der folgenden Aktionen aus:

• Wählen Sie auf der Seite Übersicht des Sensors den Link Problembehandlung* im Fehler oben auf der Seite aus.
• Wählen Sie Systemeinstellungen > Sensorverwaltung > Integrität und Problembehandlung > Behandlung von Cloud-Konnektivitätsproblemen aus.

Der Bereich Behandlung von Cloud-Konnektivitätsproblemen wird auf der rechten Seite geöffnet. Wenn der Sensor mit dem Azure-Portal verbunden ist, zeigt der Bereich an: Der Sensor ist erfolgreich mit der Cloud verbunden. Wenn der Sensor nicht verbunden ist, werden stattdessen eine Beschreibung des Problems und alle Anweisungen zur Behebung aufgeführt. Zum Beispiel:

Im Bereich Behandlung von Cloud-Konnektivitätsproblemen werden die folgenden Arten von Problemen behandelt:

Systemintegritätsprüfung

Prüfen Sie die Systemintegrität über den Sensor.

So greifst Du auf das Systemintegritätstool zu:

1. Melden Sie sich beim Sensor mit den Administratorbenutzeranmeldeinformationen an, und wählen Sie Systemeinstellungen>Systemintegritätsprüfung aus.

2. Wählen Sie im Bereich Systemintegritätsprüfung einen Befehl aus dem Menü aus, um weitere Details im Feld anzuzeigen. Beispiel:

   

Die Systemintegritätsprüfungen umfassen folgendes:

Überprüfen der Systemintegrität über die CLI

Vergewissere Dich, dass das System betriebsbereit ist und ausgeführt wird, bevor Du die Integrität des Systems testest.

Weitere Informationen finden Sie unter CLI-Befehlsreferenz für OT-Netzwerksensoren.

So testen Sie die Integrität des Systems:

1. Stellen Sie eine Verbindung mit der CLI mit dem Linux-Terminal (z. b. PuTTY) und dem Benutzer Administrator her.

2. Geben Sie system sanity ein.

3. Überprüfen Sie, ob alle Dienste grün sind (d. h., sie werden ausgeführt).

   

4. Überprüfen Sie, ob unten System is UP! (prod) (System ist AKTIV (Prod)) angezeigt wird.

Überprüfen Sie, ob die richtige Version verwendet wird:

So überprüfen Sie die Version des Systems:

1. Stellen Sie eine Verbindung mit der CLI mit dem Linux-Terminal (z. b. PuTTY) und dem Benutzer Administrator her.

2. Geben Sie system version ein.

3. Überprüfen Sie, ob die richtige Version angezeigt wird.

Überprüfen Sie, ob alle während des Installationsvorgangs konfigurierten Eingabeschnittstellen ausgeführt werden:

So überprüfen Sie den Netzwerkstatus des Systems:

1. Stellen Sie eine Verbindung mit der CLI mit dem Linux-Terminal (z. b. PuTTY) und dem Benutzer Administrator her.

2. Geben Sie network list ein (entspricht dem Linux-Befehl ifconfig).

3. Überprüfen Sie, ob die erforderlichen Eingabeschnittstellen angezeigt werden. Wenn beispielsweise zwei Quad-Kupfer-NICs installiert wurden, sollte die Liste 10 Schnittstellen enthalten.

   

Überprüfen Sie, ob Sie auf die Web-GUI der Konsole zugreifen können:

So überprüfen Sie, ob die Verwaltung auf die Benutzeroberfläche zugreifen kann:

1. Schließen Sie einen Laptop mit einem Ethernet-Kabel an den Verwaltungsport (Gb1) an.

2. Definieren Sie für die Laptop-NIC-Adresse, dass sie sich in demselben Bereich wie die Appliance befinden soll.

   

3. Pingen Sie die IP-Adresse der Appliance vom Laptop aus, um die Konnektivität zu überprüfen (Standard: 10.100.10.1).

4. Öffnen Sie den Chrome-Browser auf dem Laptop, und geben Sie die IP-Adresse der Appliance ein.

5. Wählen Sie im Fenster Ihre Verbindung ist nicht privat die Option Erweitert aus, und setzen Sie den Vorgang fort.

6. Der Test ist erfolgreich, wenn der Defender für IoT-Anmeldebildschirm angezeigt wird.

   

Laden Sie ein Diagnoseprotokoll für den Support herunter

Dieses Verfahren beschreibt, wie Sie ein Diagnoseprotokoll herunterladen, um es in Verbindung mit einem bestimmten Support-Ticket an den Support zu senden.

Diese Funktion wird für die folgenden Sensorversionen unterstützt:

• 22.1.1 – Laden Sie ein Diagnoseprotokoll von der Sensorkonsole herunter.
• 22.1.3 und höher – Für lokal verwaltete Sensoren müssen Sie im Azure-Portal von der Seite Standorte und Sensoren ein Diagnoseprotokoll hochladen. Diese Datei wird automatisch an den Support gesendet, wenn Sie ein Ticket auf einem mit der Cloud verbundenen Sensor öffnen.

Alle aus dem Azure-Portal heruntergeladenen Dateien sind vom Vertrauensanker signiert, sodass Ihre Computer nur signierte Ressourcen verwenden.

So laden Sie ein Diagnoseprotokoll herunter:

1. Wählen Sie in der Sensorkonsole Systemeinstellungen > Sensorverwaltung > Integrität und Problembehandlung > Sicherung & Wiederherstellung > Sicherung aus.

2. Under Logs, wählen Sie Supportticketdiagnose, und dann wählen Sie Export.

   

3. Setzen Sie den Vorgang für einen lokal verwalteten Sensor ab Version 22.1.3 mit Hochladen eines Diagnoseprotokolls für den Support fort.

Abrufen von Forensikdaten

Die folgenden Typen von forensischen Daten werden für Geräte, die vom Sensor erkannt wurden, lokal auf OT-Sensoren gespeichert:

• Gerätedaten
• Warnungsdaten
• PCAP-Warnungsdateien
• Daten der Ereigniszeitachse
• Protokolldateien

Verwenden Sie die Data Mining-Berichte des OT-Sensors oder Azure Monitor-Arbeitsmappen auf einem OT-Netzwerksensor, um Forensikdaten aus dem Speicher dieses Sensors abzurufen. Jeder Datentyp weist einen anderen Aufbewahrungszeitraum und eine andere maximale Kapazität auf.

Weitere Informationen finden Sie unter Datenaufbewahrung in Microsoft Defender for IoT.

Sie können keine Verbindung über eine Weboberfläche herstellen

1. Überprüfen Sie, ob sich der Computer, mit dem Sie die Verbindung herstellen möchten, in demselben Netzwerk wie die Appliance befindet.

2. Überprüfen Sie, ob das GUI-Netzwerk mit dem Verwaltungsport verbunden ist.

3. Pingen Sie die IP-Adresse der Appliance. Wenn es kein Ping gibt:

   1. Schließen Sie einen Monitor und eine Tastatur an die Appliance an.

   2. Verwenden Sie den Benutzer Administrator und das betreffende Kennwort für die Anmeldung.

   3. Verwenden Sie den Befehl network list, um die aktuelle IP-Adresse anzuzeigen.

4. Wenn die Netzwerkparameter falsch konfiguriert wurden, ändern Sie sie mit dem folgenden Verfahren:

   1. Verwenden Sie den Befehl network edit-settings.

   2. Wählen Sie zum Ändern der IP-Adresse des Verwaltungsnetzwerks Y aus.

   3. Wählen Sie zum Ändern der Subnetzmaske Y aus.

   4. Wählen Sie zum Ändern des DNS Y aus.

   5. Wählen Sie zum Ändern der IP-Adresse des Standardgateways Y aus.

   6. Wählen Sie für eine Änderung der Eingabeschnittstelle (nur Sensor) N aus.

   7. Wählen Sie zum Übernehmen der Einstellungen Y aus.

5. Stellen Sie nach dem Neustart eine Verbindung mit den Anmeldeinformationen des Administratorbenutzers her und überprüfen Sie mit dem Befehl network list, ob die Parameter geändert wurden.

6. Versuchen Sie von der GUI aus erneut, zu pingen und eine Verbindung herzustellen.

Die Appliance reagiert nicht

1. Schließen Sie einen Monitor und eine Tastatur an die Appliance an, oder verwenden Sie PuTTY, um eine Remoteverbindung mit der CLI herzustellen.

2. Verwenden Sie die Administratorbenutzer-Anmeldeinformationen, um sich anzumelden.

3. Verwenden Sie den Befehl system sanity, um zu überprüfen, ob alle Prozesse ausgeführt werden. Beispiel:

   

Wenden Sie sich bei allen anderen Problemen an den Microsoft Support.

Untersuchen von Kennwortfehlern bei der anfänglichen Anmeldung

Wenn Sie sich zum ersten Mal bei einem vorkonfigurierten Sensor anmelden, müssen Sie eine Kennwortwiederherstellung wie folgt ausführen:

1. Wählen Sie auf dem Anmeldebildschirm von Defender für IoT die Option Kennwortwiederherstellung aus. Der Bildschirm Password Recovery (Kennwortwiederherstellung) wird geöffnet.

2. Wählen Sie entweder Admin oder CyberX aus, und kopieren Sie den eindeutigen Bezeichner.

3. Navigieren Sie zum Azure-Portal, und wählen Sie Sites und Sensoren aus.

4. Wählen Sie das Dropdownmenü Weitere Aktionen und dann Kennwort der lokalen Verwaltungskonsole wiederherstellen aus.

   

5. Geben Sie den eindeutigen Bezeichner ein, der auf dem Bildschirm Password Recovery (Kennwortwiederherstellung) angezeigt wurde, und wählen Sie Recover (Wiederherstellen) aus. Die Datei password_recovery.zip wird heruntergeladen. Extrahieren oder ändern Sie nicht die ZIP-Datei.

   

6. Wählen Sie auf dem Bildschirm Password Recovery (Kennwortwiederherstellung) die Option Upload (Hochladen) aus. Das Fenster Upload Password Recovery File (Kennwortwiederherstellungsdatei hochladen) wird geöffnet.

7. Wählen Sie Durchsuchen aus, um nach Ihrer Datei password_recovery.zip zu suchen, oder ziehen Sie die Datei password_recovery.zip in das Fenster.

8. Wählen Sie Weiter aus. Dann werden Ihr Benutzer und ein vom System generiertes Kennwort für Ihre Verwaltungskonsole angezeigt.

   Hinweis

   Wenn Sie sich zum ersten Mal bei einem Sensor anmelden, wird dieser bzw. diese mit Ihrem Azure-Abonnement verknüpft, das Sie benötigen, wenn Sie das Kennwort für den Benutzer Administrator wiederherstellen müssen. Weitere Informationen finden Sie unter Wiederherstellen des privilegierten Zugriffs auf einen Sensor.

Untersuchen eines fehlenden Datenverkehrs

Oben in der Konsole erscheint ein Hinweis, wenn der Sensor erkennt, dass an einem der konfigurierten Ports kein Datenverkehr vorhanden ist. Dieser Hinweis ist für alle Benutzer sichtbar. Wenn diese Meldung angezeigt wird, können Sie untersuchen, wo kein Datenverkehr vorhanden ist. Vergewissern Sie sich, dass das SPAN-Kabel angeschlossen ist und es keine Änderung in der SPAN-Architektur gab.

Überprüfen der Systemleistung

Wenn ein neuer Sensor bereitgestellt wird oder ein Sensor langsam reagiert oder keine Warnungen anzeigt, sollten Sie die Systemleistung überprüfen.

1. Melden Sie sich beim Sensor an, und wählen Sie Übersich aus. Stellen Sie sicher, dass PPS größer als 0 ist und dass Geräte entdeckt werden.
2. Generieren Sie unter Data Mining einen Bericht.
3. Erstellen Sie auf der Seite Trends & Statistiken ein Dashboard.
4. Überprüfen Sie unter Warnungen, ob die Warnung erstellt wurde.

Untersuchen fehlender erwarteter Warnungen

Wenn im Fenster Warnungen keine von Ihnen erwartete Warnung angezeigt wird, überprüfen Sie Folgendes:

1. Überprüfen Sie, ob dieselbe Warnung bereits im Fenster Warnungen als Reaktion auf eine andere Sicherheitsinstanz angezeigt wird. Wenn das zutrifft und diese Warnung noch nicht verarbeitet wurde, zeigt die Sensorkonsole keine neue Warnung an.
2. Vergewissern Sie sich, dass Sie diese Warnung nicht in der Verwaltungskonsole mithilfe der Regeln für Alert Exclusion (Warnungsausschluss) ausgeschlossen haben.

Untersuche das Dashboard, das keine Daten anzeigt

Wenn die Dashboards im Fenster Trends & Statistiken keine Daten anzeigen, gehen Sie wie folgt vor:

1. Überprüfen Sie die Systemleistung.
2. Stellen Sie sicher, dass die Einstellungen für Zeit und Region ordnungsgemäß konfiguriert sind und nicht auf einen späteren Zeitpunkt festgelegt sind.

Untersuchen einer Gerätezuordnung, in der nur Broadcastgeräte angezeigt werden

Wenn Geräte, die in der Gerätezuordnung angezeigt werden, nicht miteinander verbunden sind, liegt bei der SPAN-Portkonfiguration möglicherweise ein Fehler vor. Das heißt, Sie sehen ggf. nur die Broadcastgeräte und keinen Unicastdatenverkehr.

1. Überprüfen Sie, ob nur der Broadcastdatenverkehr angezeigt wird. Wählen Sie hierzu unter Data Mining die Option Bericht erstellen aus. Geben Sie unter Neuen Bericht erstellen die Berichtsfelder an. Wählen Sie unter Choose Category (Kategorie auswählen) die Option Alle auswählen aus.
2. Speichern Sie den Bericht, und überprüfen Sie, ob nur Broadcast- und Multicastdatenverkehr (und kein Unicastdatenverkehr) Bericht angezeigt wird. In diesem Fall wenden Sie sich an Ihr Netzwerkteam, um die Konfiguration des SPAN-Ports so zu ändern, dass Sie auch den Unicastdaatenverkehr sehen können. Alternativ können direkt vom Switch eine PCAP-Datei aufzeichnen oder einen Laptop mithilfe von Wireshark verbinden.

Weitere Informationen finden Sie unter

• Konfigurieren der Datenverkehrsspiegelung
• Hochladen und Wiedergeben von PCAP-Dateien

Verbinden des Sensors mit NTP

Sie können einen eigenständigen Sensor und eine Verwaltungskonsole mit den dazugehörigen Sensoren konfigurieren, um eine Verbindung mit NTP herzustellen.

So verbinden Sie einen eigenständigen Sensor mit NTP:

• Informieren Sie sich dazu in der Azure CLI-Dokumentation.

So verbinden Sie einen über die Verwaltungskonsole gesteuerten Sensor mit NTP:

• Die Verbindung mit NTP wird in der Verwaltungskonsole konfiguriert. Allen Sensoren, die über die Verwaltungskonsole gesteuert werden, wird die NTP-Verbindung automatisch zugewiesen.

Untersuchen, wenn Geräte nicht in der Zuordnung angezeigt werden oder über mehrere internetbezogene Warnungen verfügen

Manchmal werden ICS-Geräte mit externen IP-Adressen konfiguriert. Diese ICS-Geräte werden nicht in der Zuordnung angezeigt. Anstelle der Geräte wird eine Webcloud in der Zuordnung angezeigt. Die IP-Adressen dieser Geräte sind im Cloudimage enthalten. Ein weiterer Hinweis auf dasselbe Problem ist, dass mehrere internetbezogene Warnungen angezeigt werden. Beheben Sie das Problem wie folgt:

1. Klicken Sie in der Gerätezuordnung mit der rechten Maustaste auf das Cloudsymbol, und wählen Sie IP-Adressen exportieren aus.
2. Kopieren Sie die öffentlichen Bereiche, die privat sind, und fügen Sie sie der Subnetzliste hinzu. Weitere Informationen finden Sie unter Optimieren der Subnetzliste.
3. Generieren Sie einen neuen Data Mining-Bericht für Internetverbindungen.
4. Wechseln Sie im Data Mining-Bericht in den Administratormodus, und löschen Sie die IP-Adressen der ICS-Geräte.

Löschen von Sensordaten

In Fällen, in denen der Sensor verlagert oder gelöscht werden muss, können alle gelernten Daten vom Sensor gelöscht werden.

Weitere Informationen zum Löschen von Systemdaten finden Sie unter Löschen von OT-Sensordaten.

Exportieren von Protokollen über die Sensorkonsole zur Problembehandlung

Zur weiteren Problembehandlung können Sie Protokolle exportieren, um sie an das Supportteam zu senden, z. B. Datenbank- oder Betriebssystemprotokolle.

So exportieren Sie Protokolldaten:

1. Wechseln Sie in der Sensorkonsole zu Systemeinstellungen>Sensorverwaltung>Sicherung & Wiederherstellung>Sicherung.

2. Im Dialogfeld Informationen zur Problembehandlung exportieren:

   1. Geben Sie im Feld Dateiname einen aussagekräftigen Namen für das exportierte Protokoll ein. Der Standarddateiname verwendet das aktuelle Datum, z. B. 13:10-June-14-2022.tar.gz.

   2. Wählen Sie die Protokolle aus, die Sie exportieren möchten.

   3. Wähle Exportieren aus.

   Die Datei wird exportiert und über die Liste Archivierte Dateien unten im Dialogfeld Informationen zur Problembehandlung exportieren verknüpft.

   Beispiel:

   

3. Wählen Sie den Dateilink aus, um das exportierte Protokoll herunterzuladen, und wählen Sie außerdem die Schaltfläche aus, um das zugehörige Einmalkennwort anzuzeigen.

4. Zum Öffnen der exportierten Protokolle leiten Sie die heruntergeladene Datei und das Einmalkennwort an das Supportteam weiter. Exportierte Protokolle können nur zusammen mit dem Microsoft-Supportteam geöffnet werden.

   Damit Ihre Protokolle sicher bleiben, müssen Sie das Kennwort getrennt vom heruntergeladenen Protokoll weiterleiten.

Nächste Schritte

• Anzeigen von Warnungen

• Einrichten der SNMP MIB-Integritätsüberwachung auf einem OT-Sensor

• Überwachen getrennter OT-Sensoren