Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Probleme bei der Aufnahme beheben

Unterstützt in:

Google SecOps SIEM

In diesem Dokument werden Fehler beschrieben, die während der Datenaufnahme und ‑normalisierung in Google Security Operations auftreten können, und es wird erläutert, wie Sie diese beheben können. Anhand der folgenden Tabellen können Sie Fehler bei der Aufnahme diagnostizieren, verworfene Logs identifizieren und die Auswirkungen auf nachgelagerte Prozesse bewerten.

In diesem Dokument werden die Fehler für die folgenden Erfassungsmethoden beschrieben: Google SecOps-Forwarder, Google SecOps Ingestion API, Google SecOps API-Feed und Technologiepartner von Drittanbietern.

Quellen- und Aufnahmefehler

Die folgenden Fehler können auftreten, wenn:

Daten aus Quellsystemen abrufen
Der Google SecOps-Forwarder oder ein Drittanbieterfeed versucht, mit einer externen API oder Ressource zu kommunizieren.

HTTP-Statuscode	Fehlerursache	Kanonischer Fehlercode	Fehlermeldung	Error description	Fehlerbehebung
206	Teilinhalt	REMOTE_SERVER_ERROR	Remote-Serverfehler aufgrund von Teilinhalten.	Der Upstream-Server gibt für `MICROSOFT_GRAPH_ALERT`-Feeds nur einen Teil des Inhalts anstelle des vollständigen Datasets zurück.	Das ist ein Upstream-API-Problem. Google SecOps versucht den Transfer automatisch noch einmal. Es gehen keine Daten verloren. Sie müssen nichts weiter unternehmen.
400	Fehlerhafte Anfrage	INVALID_ARGUMENT	Ungültige Anfrageparameter.	Das System hat eine Verbindung zur Quelle hergestellt, der Feed ist jedoch aufgrund ungültiger Argumente fehlgeschlagen.	Prüfen Sie die Quellenautorisierungen, die erforderlichen Rollen und ob alle Pflichtfelder korrekt ausgefüllt sind. Prüfen Sie, ob IDs, Regionen oder Namen unzulässige Zeichen enthalten, und achten Sie darauf, dass Parameter wie Abfrageintervalle innerhalb der Grenzwerte liegen. Prüfen Sie die Feedkonfiguration und lesen Sie die Feeddokumentation. Wenn das Problem weiterhin besteht, wenden Sie sich an den Google SecOps-Support.
401	Nicht autorisiert	LOGIN_FAILED	Fehler bei der Authentifizierung. Prüfen Sie Ihre Anmeldedaten und versuchen Sie es noch einmal.	Das System hat eine Verbindung hergestellt, aber die Autorisierung ist aufgrund falscher oder fehlender Anmeldedaten fehlgeschlagen.	Prüfen Sie die Anmeldedaten für die Quelle und geben Sie sie noch einmal ein, um zu bestätigen, dass sie korrekt und nicht abgelaufen sind.
403	Forbidden (Unzulässig)	ACCESS_DENIED / PERMISSION_DENIED	Zugriff verweigert. Die Anmeldedaten haben nicht die Berechtigungen für den Zugriff auf diese Ressource.	Das System hat eine Verbindung zur Quelle hergestellt, aber die Anmeldedaten haben nicht die erforderlichen Berechtigungen für die Ressource.	Prüfen Sie, ob das Dienst- oder Authentifizierungskonto oder der API-Schlüssel die erforderlichen IAM-Rollen oder ‑Berechtigungen (Identity and Access Management) für die Ressource hat. Weitere Informationen finden Sie unter Feedkonfiguration. Überprüfen Sie beispielsweise die Azure Event Hub-Verbindungszeichenfolge im Azure-Portal. Die erforderlichen Berechtigungen finden Sie auch in der Feeds-Dokumentation. Informationen zu Berechtigungen finden Sie unter Konfiguration nach Quelltyp.
404	URL nicht gefunden	FILE_NOT_FOUND / NOT_FOUND	Endpunkt nicht gefunden. Überprüfen Sie die URL und die Ressourcendetails.	Das System konnte die Datei oder den Endpunkt nicht finden.	Prüfen Sie Folgendes: Die Datei ist in der Quelle vorhanden. Prüfen Sie, ob die API-URL oder der Hostname Tippfehler enthält. Prüfen Sie, ob Ressourcen-IDs (z. B. Bucket-Namen oder Website-IDs) und die Region korrekt sind. Die entsprechenden Nutzer haben Zugriff auf diesen bestimmten Pfad. Wenn das Problem weiterhin besteht, wenden Sie sich an den Google SecOps-Support.
429		ACCESS_TOO_FREQUENT	Zeitüberschreitung beim Feed.	Die Quelle begrenzt die Anforderungsrate. Der Feed ist fehlgeschlagen, weil zu viele Versuche unternommen wurden, die Quelle zu erreichen.	In der Regel handelt es sich dabei um ein vorübergehendes Problem. Wenn das Problem weiterhin besteht, wenden Sie sich an den Google SecOps-Support.
500				Es wurde eine Verbindung zur Quelle hergestellt, aber die Quelle hat nicht mit Daten geantwortet.	Prüfen Sie, ob die Quelle verfügbar ist und reagiert. Wenden Sie sich an den Google SecOps-Support, wenn das Problem weiterhin besteht.
502				Im Feed ist ein Gateway-Fehler aufgetreten.	Dieser Fehler ist vorübergehend und die Anwendung wird die Anfrage noch einmal senden. Sollte das Problem weiterhin auftreten, wenden Sie sich an den Google SecOps-Support.
503			Vorübergehendes Verbindungsproblem.	Die Quelle oder das Gateway hat nicht geantwortet oder es ist eine Zeitüberschreitung aufgetreten.	Prüfen Sie, ob die Quelle verfügbar ist und reagiert. Verwenden Sie Jittered Exponential Backoff, wenn Sie die API programmatisch aufrufen.
504				Google SecOps kann keine Verbindung zur Quell-IP-Adresse und zum Quellport herstellen.	Dieser Fehler ist vorübergehend und die Anwendung wird die Anfrage noch einmal senden. Prüfen Sie Folgendes: Die Quelle ist verfügbar. Eine Firewall blockiert die Verbindung nicht. Die mit dem Server verknüpfte IP-Adresse ist korrekt. Wenn das Problem weiterhin besteht, wenden Sie sich an den Google SecOps-Support.
	Allgemeine Anmeldedaten		Die Anmeldedaten konnten nicht bestätigt werden. Prüfen Sie die Konfigurationsdetails.		Prüfen Sie die allgemeinen Konfigurationsdetails für die Anmeldedaten in der Google SecOps Console.
		CONNECTION_DROPPED		Das System hat eine Verbindung zur Quelle hergestellt, aber die Verbindung wurde geschlossen, bevor der Feed abgeschlossen war.	Dieser Fehler ist vorübergehend und die Anwendung wird die Anfrage noch einmal senden. Sollte das Problem weiterhin auftreten, wenden Sie sich an den Google SecOps-Support.
		CONNECTION_FAILED	Verbindung zur Quelle kann nicht hergestellt werden.	Das System kann keine Netzwerkverbindung herstellen. Die Anwendung kann keine Verbindung zur Quell-IP-Adresse und zum Quellport herstellen.	Prüfen Sie, ob die Quelle verfügbar ist, keine Firewall die Verbindung blockiert und die IP-Adresse korrekt ist. Prüfen Sie Folgendes: Die Quelle ist verfügbar. Eine Firewall blockiert die Verbindung nicht. Die mit dem Server verknüpfte IP-Adresse ist korrekt. Wenn das Problem weiterhin besteht, wenden Sie sich an den Google SecOps-Support.
		DNS_ERROR	DNS-Fehler.	Der Hostname der Quelle kann vom System nicht aufgelöst werden.	Überprüfen Sie die URLs in den Feedparametern und die Nameservereinstellungen der Quelle. Prüfen Sie den Server-Hostname auf Rechtschreibfehler.
		FILE_FAILED		Das System hat eine Verbindung zur Quelle hergestellt, aber es ist ein Problem mit der Datei oder Ressource aufgetreten.	Prüfen Sie Folgendes: Die Datei ist nicht beschädigt. Die Berechtigungen auf Dateiebene sind korrekt. Wenn das Problem weiterhin besteht, wenden Sie sich an den Google SecOps-Support.
		GATEWAY_ERROR		Die API hat einen Gateway-Fehler für den von Google SecOps ausgeführten Aufruf zurückgegeben.	Überprüfen Sie die Quelldetails des Feeds. Die Anwendung wiederholt die Anfrage.
		INTERNAL_ERROR		Daten können aufgrund eines internen Fehlers nicht aufgenommen werden.	Wenn das Problem weiterhin besteht, wenden Sie sich an den Google SecOps-Support.
		INVALID_FEED_CONFIG		Die Feedkonfiguration enthält ungültige Werte.	Prüfen Sie die Feedkonfiguration auf falsche Einstellungen. Die richtige Syntax finden Sie in der Dokumentation zu Feeds.
		INVALID_REMOTE_RESPONSE		Es wurde eine Verbindung zur Quelle hergestellt, aber die Antwort war falsch.	Prüfen Sie die Feedkonfiguration. Weitere Informationen zum Einrichten von Feeds Wenn das Problem weiterhin besteht, wenden Sie sich an den Google SecOps-Support.
		INVALID_SECRET	Der geheime Schlüssel stimmt nicht überein.		Prüfen Sie, ob der im Feed konfigurierte geheime Schlüssel nicht mit dem Schlüssel übereinstimmt, den Google SecOps im HTTP-Header empfangen hat. Das ist beispielsweise bei der HTTPS-Push-Aufnahme der Fall.
		INVALID_SSL_CERTIFICATE	Ungültiges SSL-Zertifikat.	Das System konnte das SSL-Zertifikat der Quelle nicht validieren.	Prüfen Sie die Quellautorisierungen und vergewissern Sie sich, dass das Zertifikat des Servers gültig und vertrauenswürdig ist.
		NO_RESPONSE		Es wurde eine Verbindung zur Quelle hergestellt, aber die Quelle hat nicht geantwortet.	Prüfen Sie, ob die Quelle Anfragen von Google SecOps unterstützen kann. Wenn das Problem weiterhin besteht, wenden Sie sich an den Google SecOps-Support.
		REMOTE_SERVER_ERROR		Es wurde eine Verbindung zur Quelle hergestellt, aber die Quelle hat nicht mit Daten geantwortet.	Prüfen Sie, ob die Quelle verfügbar ist und Daten zurückgibt. Wenn das Problem weiterhin besteht, wenden Sie sich an den Google SecOps-Support.
		REMOTE_SERVER_REPORTED_BAD_REQUEST		Es wurde eine Verbindung zur Quelle hergestellt, die Quelle hat die Anfrage jedoch abgelehnt.	Prüfen Sie die Feedkonfiguration. Weitere Informationen finden Sie in der Dokumentation zu Feeds. Wenn das Problem weiterhin besteht, wenden Sie sich an den Google SecOps-Support.
		RESOURCE_EXHAUSTED	Kontingent oder Ratenbegrenzung überschritten.		Prüfen Sie, ob Kontingentablehnungen aufgrund eines hohen Anfragevolumens oder von Datenlimits erfolgen. Die Quelle sendet Anfragen zu häufig. Behalten Sie die Kontingentnutzung im Blick und wenden Sie sich bei Bedarf an den Support. Das ist beispielsweise der Fall, wenn Sie die Ingestion API oder Google Workspace verwenden.
		SOCKET_READ_TIMEOUT		Es wurde eine Verbindung zur Quelle hergestellt, aber die Verbindung ist abgelaufen, bevor die Datenübertragung abgeschlossen wurde.	Dieser Fehler ist vorübergehend und die Anwendung wird die Anfrage noch einmal senden. Sollte das Problem weiterhin auftreten, wenden Sie sich an den Google SecOps-Support.
		TOO_MANY_ERRORS		Beim Feed ist eine Zeitüberschreitung aufgetreten, weil in der Quelle mehrere Fehler aufgetreten sind.	Wenden Sie sich an den Google SecOps-Support.
		TRANSIENT_INTERNAL_ERROR		Im Feed ist ein vorübergehender interner Fehler aufgetreten.	Dieser Fehler ist vorübergehend und die Anwendung wird die Anfrage noch einmal senden. Sollte das Problem weiterhin auftreten, wenden Sie sich an den Google SecOps-Support.
		UNSAFE_CONNECTION		Die Anwendung konnte keine Verbindung herstellen, da die IP-Adresse eingeschränkt war.	Dieser Fehler ist vorübergehend und die Anfrage wird von Google SecOps noch einmal gesendet. Sollte das Problem weiterhin auftreten, wenden Sie sich an den Google SecOps-Support.

Parser- und Normalisierungsfehler

Diese Fehler treten nach der Aufnahme auf, während des Zuordnungsprozesses von Rohlogs zum Unified Data Model (UDM). Wenn hier Fehler auftreten, werden in Google SecOps möglicherweise Logs verworfen oder Sie können nicht mit UDM-Feldern nach Logs suchen.

Parsertyp für Fehler	Error description	Fehlerbehebung
Regex	Der Parser hat ein Problem mit einem regulären Ausdruck.	Überprüfen Sie die Parserlogik. Wenn Sie vorgefertigte Parser benötigen, wenden Sie sich an den Google SecOps-Support.
Invalid_config	Es liegt ein Problem mit der Konfigurationsdatei des Parsers vor.	Validieren und korrigieren Sie die Parser-Konfigurationsdatei.
Fehler bei der Validierung von Indexierungsereignis-Batches	Normalisierte Daten bestehen die Schemaprüfungen nicht.	Prüfen Sie die Zuordnung des Parsers zu UDM-Feldern, um sicherzustellen, dass sie den Anforderungen entspricht.
Rückstand	Das System hat die Normalisierung verzögert.	Die Rohlogs befinden sich in der Warteschlange und warten auf die Verarbeitung. Wenden Sie sich an den Support, wenn die Verzögerung weiterhin auftritt.
LOG_PARSING_DROPPED_NO_EVENTS	Der Parser hat keine Ereignisse erzeugt, sodass das Log verworfen wurde.	Prüfen Sie die Rohlogs, um sicherzustellen, dass sie Daten enthalten, aus denen tatsächlich Ereignisse generiert werden sollten.
LOG_PARSING_DROPPED_BY_FILTER	Ein expliziter Drop-Filter im Parser hat dazu geführt, dass das Log vom System verworfen wurde.	Filterbedingungen im Parsercode prüfen Das ist oft beabsichtigt für Protokolle ohne Sicherheitswert.
LOG_PARSING_DROPPED_BY_FILTER: TAG_MALFORMED_ENCODING	Aufgrund einer fehlerhaften JSON- oder XML-Codierung konnte das Parsing nicht durchgeführt werden.	Achten Sie darauf, dass die Protokollquelle eine unterstützte und wohlgeformte Codierung verwendet.
LOG_PARSING_NO_PARSER_FOUND	Das System hat keinen Parser für diesen Logtyp.	Prüfen Sie, ob Sie den richtigen LogType festgelegt haben und ob für diesen Typ ein Parser aktiv ist.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten