Jak prawidłowo analizować alerty Missing Heartbeat w Sophos Firewall

Alert Missing Heartbeat nie oznacza automatycznie obecności złośliwego oprogramowania. Sophos Firewall informuje w ten sposób, że wcześniej rozpoznany endpoint nadal generuje ruch sieciowy, ale nie wysyła już pasującego sygnału Security Heartbeat. Przyczyną może być uszkodzony Sophos Endpoint, ale także przełączanie między LAN i WLAN, uśpienie i wybudzenie, nieprawidłowy projekt DNS lub niewłaściwa ścieżka sieciowa.

Dobra analiza nie powinna więc zaczynać się od wyłączenia Security Heartbeat. Najpierw należy sprawdzić, czy firewall w ogóle powinien monitorować dane urządzenie, jaki ruch wywołuje ten status oraz czy endpoint, firewall i Sophos Fusion (dawniej Sophos Central) widzą ten sam stan.

Szybka weryfikacja

1. Jeśli dwa różne endpointy korzystają z tej samej stacji dokującej lub interfejsu USB, najpierw sprawdź wersję firmware. SFOS 22.0 MR2 Build 546 naprawia błąd NC-176012. Starszą wersję SFOS 22 zaktualizuj przed zmianą timerów lub polityk.
2. W sekcji System > Sophos Fusion > Optional configurations sprawdź, czy strefa została celowo dodana do Missing heartbeat zones.
3. Sprawdź warunki Heartbeat w faktycznie zastosowanej regule firewalla i porównaj je ze statusem oraz Endpoint Events tego samego endpointu w Sophos Fusion.
4. W Log Viewer filtruj według Rule ID, Source IP i No Heartbeat. Następnie ustal, czy czas zdarzenia odpowiada zmianie karty sieciowej, DNS, VPN, uśpieniu lub wybudzeniu.
5. Timer zmieniaj tylko dla powtarzalnego przejścia i przy aktualnym firmware.

Jak powstaje status Missing Heartbeat

Przy pierwszym połączeniu endpoint przesyła do firewalla swój aktualny stan kondycji, interfejsy sieciowe i zalogowanych użytkowników.

Sophos Endpoint wysyła swój status do Sophos Firewall co 15 sekund. Jeżeli zabraknie trzech kolejnych sygnałów Heartbeat, a endpoint nadal generuje ruch sieciowy, firewall ustawia status Missing. Gdy sygnał Heartbeat pojawi się ponownie, endpoint jest znów uznawany za aktywny.

Przypisanie odbywa się na podstawie adresu MAC. Firewall uwzględnia przy tym wszystkie interfejsy urządzenia. Przy zwykłym przełączaniu między Ethernetem i WLAN jeden interfejs lub stara ścieżka sieciowa może nadal generować ruch, podczas gdy Heartbeat jest już przesyłany inną drogą. Dwa endpointy korzystające z tej samej stacji dokującej lub interfejsu USB stanowią natomiast odrębny problem zależny od wersji.

Status Missing nie jest też tym samym co czerwony lub żółty Heartbeat:

• Missing: Firewall widzi ruch, ale nie otrzymuje aktualnego sygnału Heartbeat.
• Yellow: Endpoint zgłasza stan ostrzegawczy, na przykład nieaktualną sygnaturę lub PUA.
• Red: Endpoint zgłasza stan krytyczny, na przykład aktywne złośliwe oprogramowanie, którego nie udało się usunąć.

Dopóki analiza nie wykaże inaczej, status Missing należy więc traktować jako problem komunikacji i przypisania.

Firewall rozsyła do endpointów listę urządzeń o czerwonym lub żółtym stanie kondycji co drugi sygnał Heartbeat, czyli co 30 sekund. To nie jest ani 15-sekundowy interwał wysyłania sygnałów przez endpointy, ani limit czasu wykrywania Missing.

Stan kondycji i reakcja

• Green: Oprogramowanie zabezpieczające Sophos zgłasza prawidłowe działanie; nie wykryto aktywnego ani nieaktywnego złośliwego oprogramowania ani potencjalnie niepożądanych aplikacji (PUA). Sam ten stan nie wymaga działania, ale nie gwarantuje, że urządzenie jest wolne od wszelkich zagrożeń.
• Yellow: Typowe przyczyny to nowo zainstalowana lub wykryta PUA, wykryte nieaktywne złośliwe oprogramowanie albo upływ 24 godzin od ostatniej aktualizacji sygnatur. Ten stan jest często przejściowy i zwykle nie wymaga natychmiastowego działania. Mimo to można zbadać i usunąć wykryte PUA lub złośliwe oprogramowanie; jeśli Yellow się utrzymuje, należy sprawdzić Endpoint Events i aktualizacje sygnatur, zamiast bezwarunkowo ignorować incydent.
• Red: Wymagane jest działanie, na przykład w przypadku aktywnego lub już uruchomionego złośliwego oprogramowania, nieusuniętego złośliwego oprogramowania lub nieprawidłowo działającego oprogramowania zabezpieczającego Sophos. Obejmuje to również wykryty złośliwy ruch sieciowy, na przykład do serwera Command-and-Control (C2) botnetu, oraz komunikację ze znanym szkodliwym hostem, rozpoznanym na podstawie adresu IP lub rozwiązywania nazw DNS.

W przypadku Red należy przeanalizować Endpoint Events, sprawdzić działanie ochrony i usuwanie zagrożeń oraz obsłużyć incydent bezpieczeństwa zgodnie z własnym runbookiem obsługi incydentów. Dłuższy czasomierz Missing nie usuwa żadnej z tych przyczyn. Z drugiej strony sam stan Missing nie dowodzi infekcji.

Najpierw sprawdź zakres i model operacyjny

Security Heartbeat wymaga zarejestrowanego Sophos Firewall, Sophos Endpoint Protection oraz ważnej subskrypcji Network Protection. Podstawową konfigurację opisuje artykuł Łączenie Sophos Firewall z Sophos Fusion.

W obsługiwanych środowiskach AD z Windows 10 ten sam heartbeat może również przenosić tożsamość użytkownika. Synchronized User ID Authentication wyjaśnia przypisanie AD i dlaczego utrata heartbeat może wylogować wykrytego użytkownika.

Sprawdź Missing heartbeat zones

W polu Missing heartbeat zones w sekcji System > Sophos Fusion > Optional configurations określa się strefy, w których firewall wykrywa brakujące sygnały Heartbeat. Należy dodać wyłącznie strefy, w których oczekiwane są zarządzane urządzenia z Sophos Endpoint.

Sieci gościnne, IoT, drukarek lub serwerów bez Sophos Endpoint zwykle nie powinny należeć do tego zakresu. W środowiskach mieszanych z Microsoft Defender lub innym rozwiązaniem EDR urządzenia mogą być dobrze chronione, ale nie są w stanie wysyłać sygnału Sophos Security Heartbeat.

Zakres musi odpowiadać polityce firewalla. Sophos zwraca uwagę na mało intuicyjny przypadek szczególny: jeśli polityka Heartbeat blokuje strefę, której nie dodano w polu Missing heartbeat zones, widżet Security Heartbeat w Control Center może mimo to pokazywać status Missing. Dlatego pole stref i odpowiednie reguły firewalla należy zawsze sprawdzać łącznie.

Zweryfikuj licencję i stan Central

W sekcji System > Sophos Fusion rejestracja i Security Heartbeat muszą być aktywne. W Sophos Fusion dla danego komputera należy sprawdzić:

• Czy endpoint jest online i przypisany do właściwego tenantu?
• Czy ma zielony, żółty czy czerwony stan kondycji?
• Czy w tym samym czasie wystąpiły Endpoint Events?
• Czy urządzenie zostało ponownie zainstalowane, przemianowane, zduplikowane lub usunięte z Central?

Jeżeli problem dotyczy jednocześnie wielu urządzeń, jego przyczyną jest raczej rejestracja, ścieżka sieciowa lub polityka. Pojedyncze urządzenia, na których problem regularnie powraca, wskazują raczej na usługę Endpoint, zmianę karty sieciowej lub lokalną konfigurację sieci.

W środowisku używającym wyłącznie Sophos Endpoint sygnał Heartbeat może być bezwzględnym warunkiem dostępu, jeśli zakres stref i reguł, monitorowanie w Central oraz procedura postępowania w przypadku braku Heartbeat są ze sobą spójne. W środowiskach mieszanych należy stosować go selektywnie: urządzenia z Microsoft Defender lub innym EDR mogą być chronione, ale nie dostarczają sygnału Sophos. Oddzielne reguły i jasna segmentacja są bardziej niezawodne niż globalny wymóg Heartbeat ze stale rosnącą listą wyjątków.

Prawidłowo oceń typowe przyczyny

Zmiana karty sieciowej, uśpienie i współdzielony sprzęt

Jeśli dwa endpointy korzystają z tej samej stacji dokującej lub interfejsu USB, status Missing może powodować błąd NC-176012. Naprawiono go w wersji SFOS 22.0 MR2 Build 546; release notes nie podają, od której wersji występował. Dlatego najpierw zaktualizuj starszą wersję SFOS 22 i ponów test. Dłuższy timer jedynie maskuje ten błąd produktu.

Domyślny czas wykrywania brakującego sygnału Heartbeat wynosi 60 sekund. Po zmianie karty sieciowej firewall może w tym czasie nadal widzieć zapytania DNS lub połączenia w tle związane ze starym adresem IP albo przypisaniem MAC. Podobny wzorzec mogą powodować wyłączenie urządzenia, uśpienie, hibernacja i wybudzenie.

Urządzenia z systemem Windows, które obsługują Modern Standby i korzystają z Sophos Endpoint Protection Core Agent 2023.2 lub nowszego, informują firewall przed przejściem w tryb uśpienia. Sam Modern Standby nie powinien więc powodować na nich alertu Missing. W przypadku starszych wersji agenta lub innych stanów oszczędzania energii korelacja czasowa nadal ma jednak znaczenie.

Po powiadomieniu o uśpieniu zapora oznacza endpoint jako rozłączony i nie generuje Missing Heartbeat Alerts. Po wybudzeniu endpoint ponownie powiadamia zaporę, która znów oznacza go jako połączony. Ten proces dotyczy wymienionych urządzeń Windows z Modern Standby i Core Agent 2023.2 lub nowszym, a nie ogólnie każdego rodzaju Sleep lub Hibernate.

Wyklucz fałszywe alerty w macOS

Znany błąd MACEP-6842 może w systemie macOS 12 Monterey i nowszym kilka razy dziennie powodować fałszywe przerwy w Heartbeat, mimo że połączenie nie zostało faktycznie zerwane. Termin naprawy nie został jeszcze ustalony, a Sophos nie podaje rozwiązania tymczasowego. Jeśli problem dotyczy wyłącznie komputerów Mac, przed zmianą reguł lub timerów sprawdź wersje macOS i Endpoint oraz zdarzenia Central z tego samego okresu.

Ruch DNS podczas zmiany sieci

DNS jest często ostatnim widocznym ruchem klienta zmieniającego sieć. Sophos opisuje ten wzorzec w pozycji Known Issue NC-178843 dla SFOS 21.5 GA: szczególnie zewnętrzne resolvery DNS mogą podczas zmiany sieci powodować dodatkowe alerty Missing.

Dla zarządzanych klientów warto zastosować spójny projekt DNS. Jeżeli Sophos Firewall jest jedynym serwerem przekazującym zapytania DNS, domeny wewnętrzne muszą być kierowane do wewnętrznych resolverów za pomocą odpowiednich DNS Request Routes. Procedurę opisuje artykuł Konfigurowanie DNS Request Routes w Sophos Firewall.

Bezpośrednie korzystanie z wewnętrznych serwerów DNS jest również prawidłowym rozwiązaniem. Ważne jest, aby DHCP, profile VPN i konfiguracja Endpoint wskazywały tę samą oczekiwaną ścieżkę resolvera. Przejście na Sophos Firewall jako serwer przekazujący DNS nie jest uniwersalnym wymogiem, lecz ukierunkowanym rozwiązaniem w sytuacji, gdy wykazano, że zewnętrzne resolvery powodują nadmiar alertów.

Kanał komunikacyjny i tryb TAP

Endpoint i firewall wymieniają dane heartbeat przez szyfrowane połączenie TLS z 52.5.76.173 na porcie TCP 8347. Sophos Fusion dostarcza certyfikaty, dzięki którym firewall przypisuje endpointy do właściwego konta. Zgodne muszą być tenant, certyfikat endpointu i widoczny stan kondycji.

Sophos Firewall nawiązuje połączenia Heartbeat wyłącznie z endpointami, których certyfikaty posiada. Certyfikaty są przekazywane do zapory przez Sophos Fusion; sama przynależność do tego samego konta nie jest więc wystarczająca. Samo otwarcie portu nie potwierdza ani pomyślnego nawiązania połączenia TLS, ani działania Heartbeat.

W TAP mode firewall potrzebuje co najmniej jednego stale połączonego interfejsu w strefie LAN, osiągalnego dla endpointów. SFOS przekazuje do Sophos Fusion adresy wszystkich interfejsów strefy LAN, a endpointy próbują przez nie wysyłać heartbeat. Jeśli żaden z tych adresów nie jest osiągalny z sieci endpointów, analiza TAP pozostaje niepełna mimo prawidłowego mirroringu ruchu.

VPN, router i NAT na ścieżce

Security Heartbeat działa niezawodnie tylko wtedy, gdy endpoint i firewall korzystają z oczekiwanej wspólnej ścieżki:

• Przed nawiązaniem połączenia Heartbeat ruch endpointu nie może być już kierowany przez inny tunel VPN.
• W przypadku Sophos Connect może być konieczne włączenie opcji Send Security Heartbeat through tunnel w sekcji Remote access VPN > IPsec > Advanced settings.
• Za pośrednim routerem bez NAT endpoint nadal może udostępniać firewallowi swój stan kondycji. Firewall nie może jednak wykryć tam brakującego sygnału Heartbeat; widoczny stan kondycji nie dowodzi więc, że monitorowanie Missing działa.
• Za bramą NAT endpointy nie mogą udostępniać firewallowi swojego stanu kondycji. To inne ograniczenie niż brak wykrywania Missing za routerem bez NAT.

Packet Capture i kontrola routingu dostarczają w tym przypadku więcej informacji niż sam stan w Central.

Odrębnym przypadkiem jest NC-147863: jeśli użytkownik za lokalnym firewallem korzysta z uwierzytelniania Heartbeat i zestawia za pomocą Sophos Connect połączenie split-tunnel SSL VPN z zewnętrznym firewallem, nowa karta sieciowa może powodować pętlę łączenia i rozłączania oraz blokować dostęp do Internetu. Sophos wskazuje jako obejście usunięcie Match known users z lokalnej reguły VPN albo użycie captive portal. Zobacz Konfigurowanie Sophos Connect Client dla firewalla.

Odróżnij ochronę przed ruchem bocznym od reguł firewalla

Ochrona przed ruchem bocznym ogranicza komunikację między endpointami na podstawie stanu kondycji i polityki Endpoint zdefiniowanej w Sophos Fusion. Jeśli urządzenie zgłasza Red, inne endpointy przestają się z nim komunikować tylko wtedy, gdy obowiązuje odpowiednia polityka. Firewall działa jako proxy MAC warstwy 2: przekazuje endpointom w tej samej domenie rozgłoszeniowej adresy MAC i stany kondycji innych endpointów. Nie dowodzi to izolacji pomiędzy sieciami oddzielonymi routingiem.

Nie jest to ta sama kontrola co warunek Heartbeat w regule dla ruchu przechodzącego przez firewall. Jeśli komunikacja między endpointami jest niespodziewanie dozwolona lub blokowana, najpierw sprawdź faktycznie stosowaną politykę Endpoint i wspólną domenę rozgłoszeniową. Sam poprawny test reguły firewalla nie dowodzi ochrony przed ruchem bocznym. Przypisywanie polityk i kontrolowane zmiany opisuje Bezpieczna konfiguracja Sophos Endpoint Threat Protection. Nie wyłączaj globalnie polityki produkcyjnej ani nie wywołuj stanu złośliwego oprogramowania na potrzeby testu; ogranicz niezbędne testy do zatwierdzonego pilotażu z udokumentowanymi wartościami początkowymi i procedurą powrotu.

Dokładnie sprawdź regułę firewalla

Ustawienia Heartbeat znajdują się w sekcji Rules and policies > Firewall rules > [rule] > Configure Synchronized Security Heartbeat. Cztery opcje pełnią różne funkcje:

• Minimum source HB permitted: Zezwala tylko na endpointy źródłowe o stanie co najmniej Green lub Yellow. Ustawienie No restriction dopuszcza również urządzenia bez Heartbeat albo ze statusem czerwonym.
• Block clients with no heartbeat: Blokuje urządzenia źródłowe bez Heartbeat.
• Minimum destination HB permitted: Sprawdza stan kondycji wewnętrznych urządzeń docelowych. Kontrola ta nie dotyczy celów w strefie WAN.
• Block request to destination with no heartbeat: Blokuje żądania do wewnętrznych celów bez Heartbeat.

Łatwo przeoczyć ważny przypadek szczególny: jeżeli endpoint najpierw wysyłał Heartbeat, a później go utracił, firewall obsługuje go zgodnie ze skonfigurowaną polityką. Urządzenie, które nigdy nie wysłało Heartbeat, pozostaje natomiast dozwolone, dopóki nie są aktywne obie opcje Block clients with no heartbeat oraz Block request to destination with no heartbeat.

Ruch WWW podlega dodatkowemu wyjątkowi. Odpowiedni wyjątek w sekcji Web > Exceptions może zezwolić na żądania WWW pomimo ustawienia Block clients with no heartbeat. W przypadku portów 80 i 443 należy więc sprawdzić zarówno logi firewalla, jak i filtra internetowego. Sposób łączenia Rule ID, Policy Test i Packet Capture opisuje artykuł Testowanie reguły firewalla za pomocą Log Viewer, Policy Test i Packet Capture.

Warunki Heartbeat powinny dotyczyć wyłącznie jasno zdefiniowanych grup Sophos Endpoint. Drukarki, skanery, urządzenia IoT, goście i klienci z EDR innych producentów zwykle wymagają oddzielnej, ściśle ograniczonej reguły zamiast szerokiego wyjątku w regule głównej.

Kontrolowane ograniczanie fałszywych alarmów

Sophos udostępnia dwa obsługiwane timery Device Console. Nie zastępują one aktualizacji firmware usuwającej problem ze współdzieloną stacją dokującą ani nie rozwiązują znanego problemu w macOS. Przed każdą zmianą należy najpierw wyświetlić bieżącą wartość i udokumentować czas występowania alertów.

Opóźnienie wykrywania na firewallu

W CLI wybierz 4. Device Console i sprawdź:

system synchronized-security delay-missing-heartbeat-detection show

Dozwolony zakres wynosi od 30 do 285 sekund w odstępach co 15 sekund, a wartość domyślna to 60 sekund. Jeżeli wykazano, że fałszywe alarmy powoduje zmiana karty sieciowej, wartość można zwiększyć na przykład do 90 sekund:

system synchronized-security delay-missing-heartbeat-detection set seconds 90

Następnie należy ponownie przetestować ten sam proces przełączania LAN/WLAN lub stacji dokującej. Wyższa wartość ogranicza krótkotrwałe fałszywe alarmy, ale opóźnia także wykrywanie rzeczywistego braku Heartbeat.

Wyższa wartość nie zawsze jest właściwą korektą. Przy opóźnionym dostępie do zasobów z ustawieniem Block clients with no heartbeat, przełącznikami lub LAG Sophos zaleca rozpoczęcie od 30 sekund i zwiększanie wartości tylko w razie potrzeby, w krokach co 15 sekund. To inny scenariusz niż zmiana karty sieciowej, dla której można celowo przetestować 90 sekund.

W tym przypadku dotyczącym przełącznika/LAG należy najpierw udokumentować bieżący wynik system synchronized-security delay-missing-heartbeat-detection show jako punkt odniesienia do wycofania zmiany i potwierdzić faktycznie dopasowaną regułę. Zmiana dotyczy czasomierza wykrywania zapory; dlatego należy ją wykonać w zatwierdzonym oknie testowym, a nie jednocześnie z przykładem 90 sekund. Po zalogowaniu do CLI zapory wybrać 4. Device Console i ustawić:

system synchronized-security delay-missing-heartbeat-detection set seconds 30

Następnie ponownie sprawdzić wartość za pomocą show i przetestować dostęp do sieci urządzeń korzystających z tej reguły. Zwiększać wartość w krokach co 15 sekund tylko w razie potrzeby i sprawdzać ponownie po każdej zmianie. Jeśli działanie się pogorszy, przywrócić wcześniej udokumentowaną wartość przy użyciu tej samej składni set seconds i ponownie przetestować. Polecenie exit pozwala opuścić Console. 30 sekund to udokumentowana wartość początkowa dla tego konkretnego scenariusza błędu, a nie nowa ogólna wartość domyślna.

Opóźnienie zgłoszenia do Sophos Fusion

Jeżeli firewall prawidłowo rozpoznaje status, ale Sophos Fusion alarmuje zbyt szybko podczas uśpienia, hibernacji, wyłączenia lub wybudzenia, sprawdź:

system synchronized-security suppress-missing-heartbeat-to-central show

Zakres wynosi od 0 do 120 sekund, a wartość domyślna to 0. Ukierunkowane opóźnienie o 60 sekund ustawia się następująco:

system synchronized-security suppress-missing-heartbeat-to-central set seconds 60

Ten timer nie zmienia lokalnej polityki Heartbeat. Opóźnia jedynie moment, w którym firewall zgłasza status Missing do Sophos Fusion.

Usuwanie nieaktualnych wpisów Missing

Po zakończeniu analizy przyczyn stare wpisy można usunąć z Control Center i raportów. Poniższe polecenia to alternatywy, a nie sekwencja. W 4. Device Console wykonaj tylko wariant odpowiadający zatwierdzonemu wyborowi:

• Dla jednego znanego endpointu z nieaktualnym wpisem wybierz przede wszystkim name i zastąp endpoint1 jego dokładną nazwą.
• days-missing działa niezależnie od wyboru według nazwy: usuwa wszystkie wpisy statusu Missing, które utrzymują się przez wybraną liczbę dni lub dłużej. Dozwolony zakres wynosi od 1 do 90 dni. Wartość 7 usuwa więc wszystkie wpisy ze statusem Missing utrzymującym się od co najmniej siedmiu dni, nie tylko wpis dla endpoint1 ani wyłącznie wpisy mające dokładnie siedem dni. Zastąp 7 zatwierdzonym minimalnym wiekiem wpisów i przed tym szerszym czyszczeniem udokumentuj cały zbiór wybrany według wieku, uwzględniając urządzenie, czas i przyczynę dla każdego wpisu. Wykonaj polecenie dopiero po zatwierdzeniu czyszczenia całego tego zbioru.

system synchronized-security missing-endpoints delete name endpoint1

system synchronized-security missing-endpoints delete days-missing 7

Usunięcie kasuje wyłącznie wyświetlany status. Nie naprawia ani endpointu, ani komunikacji Heartbeat. Nie należy usuwać wpisu przed udokumentowaniem urządzenia, czasu i przyczyny.

Po czyszczeniu odśwież Control Center i raporty oraz porównaj je z udokumentowanym wyborem: powinny zniknąć tylko zamierzone wpisy statusu Missing.

Weryfikacja po zmianie

Zmianę można uznać za zakończoną dopiero po powtarzalnym przetestowaniu pierwotnego procesu:

1. Zanotuj czas alertu, nazwę endpointu, adres IP, adres MAC, strefę i odpowiednią Rule ID.
2. Sprawdź status Security Heartbeat w Control Center oraz zakres stref w sekcji System > Sophos Fusion.
3. Porównaj stan kondycji i Endpoint Events w Sophos Fusion dla tego samego okresu.
4. W Log Viewer filtruj według Rule ID, Source IP i statusu No Heartbeat. W przypadku ruchu WWW sprawdź dodatkowo filtr internetowy.
5. W przypadku problemów ze ścieżką użyj Diagnostics > Packet capture, aby ustalić, przez który interfejs przechodzi ruch DNS i ruch użytkowy.
6. Powtórz rzeczywistą przyczynę, na przykład przejście z Ethernetu na WLAN, i sprawdź, czy alert oraz dostęp zachowują się teraz zgodnie z oczekiwaniami.

Do bardziej szczegółowego rozwiązywania problemów w sekcji Diagnostics > Tools > Troubleshooting logs dostępne są w szczególności pliki heartbeatd.log, zawierający stan endpointów i informacje o aplikacjach, oraz hbtrust.log, dotyczący komunikacji między firewallem a Sophos Fusion. Klasyfikację pozostałych plików opisuje artykuł Wyszukiwanie i klasyfikowanie logów usług Sophos Firewall.

Błędy w pliku heartbeatd.log dotyczące wykrywania nowych aplikacji są natomiast związane z Synchronized Application Control i nie muszą oznaczać problemu Missing Heartbeat. W takim przypadku właściwsza jest procedura Bezpieczne sprawdzanie błędów Synchronized Application Control.

Często zadawane pytania