启用反间谍软件内联云分析后，流量日志中的资源不可用。
5855
Created On 03/15/24 09:50 AM - Last Modified 03/14/25 08:46 AM
Symptom
- 流量日志显示会话结束原因“资源不可用” 。
- 相同流量的威胁日志显示间谍软件减少。
- 该网站无法访问，几秒钟后就可以访问。
Environment
- PAN-OS：10.2.0 或更高版本
- 高级Threat Prevention 订阅
- 对象>安全配置文件>反间谍软件配置文件>内联云分析
- “启用云内联分析”：已勾选
- 设备>设置> Content-ID >Threat Prevention内联云分析设置：
- “允许最大延迟”： 未选中
- “日志流量未扫描”：已勾选
Cause
- 当我们在“最大延迟（毫秒）”阈值内未收到云的判定时，该会话将被丢弃。
- 会话结束原因记录为“资源不可用”，而不是“威胁”。这是为了与常规恶意判决丢弃路径区分开来。
- 当选中“日志流量未扫描”时，会生成威胁日志。生成日志不是因为判定为恶意，而是因为延迟丢弃了会话。
Resolution
当未选中“允许最大延迟”时，会话结束原因“资源不可用”是达到Threat Prevention内联云最大延迟的预期行为。
Additional Information
- pan_packet_diag.log：（启用调试功能）
2024-03-08 04:34:31.553 -0800 debug: pan_ctd_process_ctdf_wif_pkt_mlc2_verdict(pan_ctd_wif_ace_mlc2.c:768): receive c2 verdict, but no wqe is available <<<<<< the cause of resources-unavailable 2024-03-08 04:34:31.553 -0800 debug: pan_ctd_wif_update_latency_counters(pan_ctd_feature_fwd.c:280): For Service 2 latency 410 current time 331350 start time 330940 <<<<<< 410 ms to get verdict while config was set to 400ms.