Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Résoudre les problèmes d'ingestion

Compatible avec :

Google SecOps SIEM

Ce document explique les erreurs que vous pouvez rencontrer lors de l'ingestion et de la normalisation des données dans Google Security Operations, et décrit comment les résoudre. Utilisez les tableaux suivants pour diagnostiquer les échecs d'ingestion, identifier les journaux supprimés et évaluer l'impact en aval.

Ce document décrit les erreurs pour les méthodes d'ingestion suivantes : Google SecOps Forwarder, API Google SecOps Ingestion, flux d'API Google SecOps et partenaires technologiques tiers.

Erreurs de source et d'ingestion

Vous pouvez rencontrer les erreurs suivantes :

Récupérer des données à partir des systèmes sources.
Le transmetteur Google SecOps ou un flux tiers tente de communiquer avec une API ou une ressource externe.

Code d'état HTTP	Motif de l'erreur	Code d'erreur canonique	Message d'erreur	Description de l'erreur	Dépannage
206	Contenu partiel	REMOTE_SERVER_ERROR	Erreur du serveur distant due à un contenu partiel.	Le serveur en amont renvoie un contenu partiel au lieu de l'ensemble de données complet pour les flux `MICROSOFT_GRAPH_ALERT`.	Il s'agit d'un problème lié à l'API en amont. Google SecOps relance automatiquement le transfert. Aucune donnée n'est perdue. Aucune action n'est requise de votre part.
400	Requête incorrecte	INVALID_ARGUMENT	Paramètres de requête non valides.	Le système a établi une connexion à la source, mais le flux a échoué en raison d'arguments non valides.	Vérifiez les autorisations de la source, les rôles requis et que tous les champs obligatoires sont correctement remplis. Recherchez les caractères illégaux dans les ID, les régions ou les noms, et assurez-vous que les paramètres tels que les intervalles d'interrogation sont dans les limites. Vérifiez la configuration du flux et consultez la documentation sur les flux. Si le problème persiste, contactez l'assistance Google SecOps.
401	Non autorisé	LOGIN_FAILED	Échec de l'authentification. Vérifiez vos identifiants et réessayez.	Le système a établi une connexion, mais l'autorisation a échoué en raison d'identifiants incorrects ou manquants.	Vérifiez et saisissez à nouveau les identifiants de la source pour vous assurer qu'ils sont corrects et qu'ils n'ont pas expiré.
403	Interdit	ACCESS_DENIED / PERMISSION_DENIED	Accès refusé. Les identifiants ne disposent pas des autorisations nécessaires pour accéder à cette ressource.	Le système a établi une connexion à la source, mais les identifiants ne disposent pas des autorisations nécessaires pour la ressource.	Assurez-vous que le compte de service ou d'authentification, ou la clé API, dispose des rôles ou autorisations IAM (Identity and Access Management) nécessaires pour la ressource. Pour en savoir plus, consultez la configuration du flux. Par exemple, vérifiez la chaîne de connexion Azure Event Hub dans le portail Azure. Vous pouvez également consulter la documentation sur les flux pour connaître les autorisations nécessaires. Pour en savoir plus sur les autorisations, consultez Configuration par type de source.
404	URL introuvable	FILE_NOT_FOUND / NOT_FOUND	Point de terminaison introuvable. Vérifiez l'URL et les détails de la ressource.	Le système n'a pas pu localiser le fichier ou le point de terminaison spécifique.	Vérifiez les éléments suivants : Le fichier existe dans la source. Vérifiez que vous n'avez pas fait de faute de frappe dans l'URL ou le nom d'hôte de l'API. Assurez-vous que les ID de ressources (tels que les noms de buckets ou les ID de sites) et la région sont corrects. Les utilisateurs concernés ont accès à ce chemin spécifique. Si le problème persiste, contactez l'assistance Google SecOps.
429		ACCESS_TOO_FREQUENT	Le délai du flux a expiré.	La source limite le débit des requêtes. Le flux a échoué, car il y a eu trop de tentatives pour accéder à la source.	Il s'agit généralement d'un problème temporaire. Si le problème persiste, contactez l'assistance Google SecOps.
500				Une connexion à la source a été établie, mais la source n'a pas répondu avec des données.	Assurez-vous que la source est disponible et répond. Si le problème persiste, contactez l'assistance Google SecOps.
502				Le flux a rencontré une erreur de passerelle.	Cette erreur est temporaire et l'application tentera à nouveau d'envoyer la requête. Si le problème persiste, contactez l'assistance Google SecOps.
503			Problème de connexion temporaire.	La source ou la passerelle n'a pas répondu ou a expiré.	Assurez-vous que la source est disponible et répond. Utilisez un intervalle exponentiel aléatoire entre les tentatives si vous appelez l'API de manière programmatique.
504				Google SecOps ne parvient pas à se connecter au port et à l'adresse IP sources.	Cette erreur est temporaire et l'application tentera à nouveau d'envoyer la requête. Vérifiez les éléments suivants : La source est disponible. Un pare-feu ne bloque pas la connexion. L'adresse IP associée au serveur est correcte. Si le problème persiste, contactez l'assistance Google SecOps.
	Identifiant générique		Impossible de valider les identifiants. Vérifiez les détails de votre configuration.		Vérifiez les détails de configuration généraux pour l'ensemble d'identifiants dans la console Google SecOps.
		CONNECTION_DROPPED		Le système a établi une connexion à la source, mais celle-ci a été fermée avant la fin du flux.	Cette erreur est temporaire et l'application relancera la requête. Si le problème persiste, contactez l'assistance Google SecOps.
		CONNECTION_FAILED	Impossible de se connecter à la source.	Le système ne parvient pas à établir de connexion réseau. L'application ne peut pas se connecter à l'adresse IP et au port sources.	Vérifiez que la source est disponible, qu'aucun pare-feu ne bloque la connexion et que l'adresse IP est correcte. Vérifiez les éléments suivants : La source est disponible. Un pare-feu ne bloque pas la connexion. L'adresse IP associée au serveur est correcte. Si le problème persiste, contactez l'assistance Google SecOps.
		DNS_ERROR	Erreur DNS.	Le système ne parvient pas à résoudre le nom d'hôte source.	Vérifiez les URL dans les paramètres du flux et les paramètres du serveur de noms de la source. Vérifiez l'orthographe du nom d'hôte du serveur.
		FILE_FAILED		Le système a établi une connexion à la source, mais un problème s'est produit avec le fichier ou la ressource.	Vérifiez les éléments suivants : Le fichier n'est pas corrompu. Les autorisations au niveau du fichier sont correctes. Si le problème persiste, contactez l'assistance Google SecOps.
		GATEWAY_ERROR		L'API a renvoyé une erreur de passerelle à l'appel effectué par Google SecOps.	Vérifiez les détails de la source du flux. L'application réessaiera d'envoyer la requête.
		INTERNAL_ERROR		Impossible d'ingérer les données en raison d'une erreur interne.	Si le problème persiste, contactez l'assistance Google SecOps.
		INVALID_FEED_CONFIG		La configuration du flux contient des valeurs non valides.	Vérifiez la configuration du flux pour détecter les paramètres incorrects. Pour connaître la syntaxe correcte, consultez la documentation sur les flux.
		INVALID_REMOTE_RESPONSE		Une connexion à la source a été établie, mais la réponse était incorrecte.	Vérifiez la configuration du flux. En savoir plus sur la configuration des flux Si le problème persiste, contactez l'assistance Google SecOps.
		INVALID_SECRET	La clé secrète ne correspond pas.		Vérifiez si la clé secrète configurée dans le flux ne correspond pas à celle que Google SecOps a reçue dans l'en-tête HTTP. Par exemple, lorsque vous utilisez l'ingestion push HTTPS.
		INVALID_SSL_CERTIFICATE	Certificat SSL non valide.	Le système n'a pas pu valider le certificat SSL de la source.	Vérifiez les autorisations de la source et assurez-vous que le certificat du serveur est valide et approuvé.
		NO_RESPONSE		Une connexion à la source a été établie, mais la source n'a pas répondu.	Assurez-vous que la source peut répondre aux demandes de Google SecOps. Si le problème persiste, contactez l'assistance Google SecOps.
		REMOTE_SERVER_ERROR		Une connexion à la source a été établie, mais la source n'a pas répondu avec des données.	Assurez-vous que la source est disponible et qu'elle répond avec des données. Si le problème persiste, contactez l'assistance Google SecOps.
		REMOTE_SERVER_REPORTED_BAD_REQUEST		Une connexion à la source a été établie, mais la source a rejeté la demande.	Vérifiez la configuration du flux. Pour en savoir plus, consultez la documentation sur les flux. Si le problème persiste, contactez l'assistance Google SecOps.
		RESOURCE_EXHAUSTED	Quota ou limite de débit dépassé.		Vérifiez si les refus de quota sont dus à un volume de demandes élevé ou à des limites de données. La source envoie des requêtes trop fréquemment. Surveillez l'utilisation du quota et contactez l'assistance si nécessaire. Par exemple, lorsque vous utilisez l'API Ingestion ou Google Workspace.
		SOCKET_READ_TIMEOUT		Une connexion à la source a été établie, mais elle a expiré avant la fin du transfert de données.	Cette erreur est temporaire et l'application relancera la requête. Si le problème persiste, contactez l'assistance Google SecOps.
		TOO_MANY_ERRORS		Le délai d'attente du flux a expiré, car plusieurs erreurs ont été détectées dans la source.	Contactez l'assistance Google SecOps.
		TRANSIENT_INTERNAL_ERROR		Le flux a rencontré une erreur interne temporaire.	Cette erreur est temporaire et l'application tentera à nouveau d'envoyer la requête. Si le problème persiste, contactez l'assistance Google SecOps.
		UNSAFE_CONNECTION		L'application n'a pas réussi à établir une connexion, car l'adresse IP était limitée.	Cette erreur est temporaire. Google SecOps relancera la requête. Si le problème persiste, contactez l'assistance Google SecOps.

Erreurs d'analyseur et de normalisation

Ces erreurs se produisent après l'ingestion, lors du mappage des journaux bruts au modèle de données unifié (UDM). Si des erreurs se produisent ici, Google SecOps peut supprimer des journaux ou vous ne pourrez peut-être pas rechercher des journaux à l'aide des champs UDM.

Type d'erreur de l'analyseur	Description de l'erreur	Dépannage
Expression régulière	Le parseur rencontre un problème avec une expression régulière.	Vérifiez la logique de l'analyseur. Pour les analyseurs prédéfinis, contactez l'assistance Google SecOps.
Invalid_config	Le fichier de configuration du parseur présente un problème.	Validez et corrigez le fichier de configuration de l'analyseur.
Erreur de validation du lot d'événements d'indexation	Les données normalisées ne passent pas les vérifications du schéma.	Vérifiez que le mappage du fichier parser vers les champs UDM répond aux exigences.
En attente	Le système a retardé la normalisation.	Les journaux bruts sont dans la file d'attente de traitement. Si le problème persiste, contactez l'assistance.
LOG_PARSING_DROPPED_NO_EVENTS	L'analyseur n'a produit aucun événement, ce qui a entraîné la suppression du journal.	Vérifiez les journaux bruts pour vous assurer qu'ils contiennent des données qui devraient réellement générer des événements.
LOG_PARSING_DROPPED_BY_FILTER	Un filtre de suppression explicite dans l'analyseur a entraîné la suppression du journal par le système.	Examinez les conditions de filtre dans le code du parseur. Cela est souvent intentionnel pour les journaux sans valeur de sécurité.
LOG_PARSING_DROPPED_BY_FILTER: TAG_MALFORMED_ENCODING	L'analyse a échoué en raison d'un encodage JSON ou XML incorrect.	Assurez-vous que la source du journal utilise un encodage compatible et bien formé.
LOG_PARSING_NO_PARSER_FOUND	Le système ne dispose d'aucun analyseur pour ce type de journal.	Vérifiez que vous avez défini le bon LogType et qu'un analyseur est actif pour ce type.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.