Risolvere i problemi di importazione

Supportato in:

Questo documento spiega gli errori che potresti riscontrare durante l'importazione e la normalizzazione dei dati in Google Security Operations e descrive come risolverli. Utilizza le seguenti tabelle per diagnosticare gli errori di importazione, identificare i log eliminati e valutare l'impatto a valle.

Il documento descrive gli errori per i seguenti metodi di importazione: Google SecOps Forwarder, API Google SecOps Ingestion, feed API Google SecOps e partner tecnologici di terze parti.

Errori di origine e importazione

Potresti riscontrare i seguenti errori quando:

  • Recupero dei dati dai sistemi di origine.
  • Il forwarder Google SecOps o un feed di terze parti tenta di comunicare con un'API o una risorsa esterna.
Codice di stato HTTP Motivo errore Codice di errore canonico Messaggio di errore Error description Risoluzione dei problemi
206 Contenuto parziale REMOTE_SERVER_ERROR Errore del server remoto dovuto a contenuti parziali. Il server upstream restituisce contenuti parziali anziché l'intero set di dati per i feed MICROSOFT_GRAPH_ALERT. Si tratta di un problema dell'API upstream. Google SecOps ritenta automaticamente il trasferimento. Nessun dato va perso. Non devi fare nulla.
400 Richiesta errata INVALID_ARGUMENT Parametri della richiesta non validi. Il sistema ha stabilito una connessione all'origine, ma il feed non è riuscito a causa di argomenti non validi. Verifica le autorizzazioni delle origini, i ruoli richiesti e che tutti i campi obbligatori siano compilati correttamente. Verifica la presenza di caratteri non validi in ID, regioni o nomi e assicurati che i parametri come gli intervalli di polling rientrino nei limiti. Rivedi la configurazione del feed e consulta la documentazione relativa ai feed. Se il problema persiste, contatta l'assistenza Google SecOps.
401 Non autorizzato LOGIN_FAILED Autenticazione non riuscita. Verifica le tue credenziali e riprova. Il sistema ha stabilito una connessione, ma l'autorizzazione non è riuscita a causa di credenziali errate o mancanti. Verifica e inserisci nuovamente le credenziali dell'origine per confermare che siano corrette e non scadute.
403 Forbidden (Operazione non consentita) ACCESS_DENIED / PERMISSION_DENIED Accesso negato. Le credenziali non dispongono delle autorizzazioni per accedere a questa risorsa. Il sistema ha stabilito una connessione all'origine, ma le credenziali non dispongono delle autorizzazioni necessarie per la risorsa. Assicurati che il servizio, l'account di autenticazione o la chiave API disponga dei ruoli o delle autorizzazioni Identity and Access Management (IAM) necessari per la risorsa. Per maggiori dettagli, consulta la configurazione dei feed. Ad esempio, controlla di nuovo la stringa di connessione di Hub eventi di Azure nel portale Azure. In alternativa, consulta la documentazione sui feed per le autorizzazioni necessarie. Per informazioni sulle autorizzazioni, consulta Configurazione per tipo di origine.
404 URL non trovato FILE_NOT_FOUND / NOT_FOUND Endpoint non trovato. Verifica l'URL e i dettagli della risorsa. Il sistema non è riuscito a trovare il file o l'endpoint specifico.

Verifica quanto segue:

  • Il file esiste nell'origine.
  • Controlla che non ci siano errori di battitura nell'URL o nel nome host dell'API.
  • Assicurati che gli ID risorsa (come i nomi dei bucket o gli ID sito) e la regione siano corretti.
  • Gli utenti appropriati hanno accesso a quel percorso specifico.

Se il problema persiste, contatta l'assistenza Google SecOps.
429 ACCESS_TOO_FREQUENT Timeout del feed. La fonte sta limitando la frequenza delle richieste. Il feed non è andato a buon fine perché sono stati effettuati troppi tentativi per raggiungere l'origine. In genere si tratta di un problema temporaneo. Se il problema persiste, contatta l'assistenza Google SecOps.
500 È stata stabilita una connessione all'origine, ma l'origine non ha risposto con i dati. Assicurati che la sorgente sia disponibile e risponda. Se il problema persiste, contatta l'assistenza Google SecOps.
502 Si è verificato un errore del gateway nel feed. Questo errore è temporaneo e l'applicazione riproverà a inviare la richiesta. Se il problema persiste, contatta l'assistenza Google SecOps.
503 Problema di connessione temporaneo. L'origine o il gateway non ha risposto o la richiesta è scaduta. Assicurati che la sorgente sia disponibile e risponda. Utilizza il backoff esponenziale con jitter se chiami l'API in modo programmatico.
504 Google SecOps non riesce a connettersi all'indirizzo IP e alla porta di origine. Questo errore è temporaneo e l'applicazione riproverà a inviare la richiesta.

Verifica quanto segue:

  • La fonte è disponibile.
  • Un firewall non blocca la connessione.
  • L'indirizzo IP associato al server è corretto.

Se il problema persiste, contatta l'assistenza Google SecOps.
Credenziale generica Impossibile convalidare le credenziali. Controlla i dettagli di configurazione. Controlla i dettagli di configurazione generali per il set di credenziali nella console Google SecOps.
CONNECTION_DROPPED Il sistema ha stabilito una connessione all'origine, ma la connessione è stata chiusa prima del completamento del feed. Questo errore è temporaneo e l'applicazione riproverà a inviare la richiesta. Se il problema persiste, contatta l'assistenza Google SecOps.
CONNECTION_FAILED Impossibile connettersi all'origine. Il sistema non è in grado di stabilire una connessione di rete. L'applicazione non può connettersi all'indirizzo IP e alla porta di origine. Verifica che l'origine sia disponibile, che nessun firewall blocchi la connessione e che l'indirizzo IP sia corretto.

Verifica quanto segue:

  • La fonte è disponibile.
  • Un firewall non blocca la connessione.
  • L'indirizzo IP associato al server è corretto.

    • Se il problema persiste, contatta l'assistenza Google SecOps.
DNS_ERROR Errore DNS. Il sistema non è in grado di risolvere il nome host dell'origine. Verifica gli URL nei parametri del feed e nelle impostazioni del server dei nomi dell'origine. Controlla che non siano presenti errori ortografici nel nome host del server.
FILE_FAILED Il sistema ha stabilito una connessione all'origine, ma si è verificato un problema con il file o la risorsa.

Verifica quanto segue:

  • Il file non è danneggiato.
  • Le autorizzazioni a livello di file siano corrette.

Se il problema persiste, contatta l'assistenza Google SecOps.
GATEWAY_ERROR L'API ha restituito un errore del gateway alla chiamata effettuata da Google SecOps. Verifica i dettagli dell'origine del feed. L'applicazione riproverà a inviare la richiesta.
INTERNAL_ERROR Impossibile importare i dati a causa di un errore interno. Se il problema persiste, contatta l'assistenza Google SecOps.
INVALID_FEED_CONFIG La configurazione del feed contiene valori non validi. Rivedi la configurazione del feed per verificare la presenza di impostazioni errate. Per la sintassi corretta, consulta la documentazione sui feed.
INVALID_REMOTE_RESPONSE È stata stabilita una connessione all'origine, ma la risposta non era corretta. Controlla la configurazione del feed. Scopri di più sulla configurazione dei feed. Se il problema persiste, contatta l'assistenza Google SecOps.
INVALID_SECRET La chiave segreta non corrisponde. Verifica la presenza di una mancata corrispondenza tra la chiave segreta configurata nel feed e la chiave ricevuta da Google SecOps nell'intestazione HTTP. Ad esempio, quando utilizzi l'inserimento push HTTPS.
INVALID_SSL_CERTIFICATE Certificato SSL non valido. Il sistema non è riuscito a convalidare il certificato SSL della fonte. Controlla le autorizzazioni di origine e assicurati che il certificato del server sia valido e attendibile.
NO_RESPONSE È stata stabilita una connessione all'origine, ma l'origine non ha risposto. Assicurati che l'origine possa supportare le richieste di Google SecOps. Se il problema persiste, contatta l'assistenza Google SecOps.
REMOTE_SERVER_ERROR È stata stabilita una connessione all'origine, ma l'origine non ha risposto con i dati. Assicurati che l'origine sia disponibile e risponda con i dati. Se il problema persiste, contatta l'assistenza Google SecOps.
REMOTE_SERVER_REPORTED_BAD_REQUEST È stata stabilita una connessione all'origine, ma l'origine ha rifiutato la richiesta. Controlla la configurazione del feed. Per ulteriori dettagli, consulta la documentazione sui feed. Se il problema persiste, contatta l'assistenza Google SecOps.
RESOURCE_EXHAUSTED Quota o limite di frequenza superati. Controlla se i rifiuti delle quote si verificano a causa dell'elevato volume di richieste o dei limiti di dati. L'origine sta inviando richieste troppo spesso. Monitora l'utilizzo della quota e contatta l'assistenza se necessario. Ad esempio, quando utilizzi l'API Ingestion o Google Workspace.
SOCKET_READ_TIMEOUT È stata stabilita una connessione all'origine, ma la connessione è scaduta prima del completamento del trasferimento dei dati. Questo errore è temporaneo e l'applicazione riproverà a inviare la richiesta. Se il problema persiste, contatta l'assistenza Google SecOps.
TOO_MANY_ERRORS Il feed ha raggiunto il timeout perché ha rilevato più errori dall'origine. Contatta l'assistenza Google SecOps.
TRANSIENT_INTERNAL_ERROR Il feed ha rilevato un errore interno temporaneo. Questo errore è temporaneo e l'applicazione riproverà a inviare la richiesta. Se il problema persiste, contatta l'assistenza Google SecOps.
UNSAFE_CONNECTION L'applicazione non è riuscita a stabilire una connessione perché l'indirizzo IP era limitato. Questo errore è temporaneo e Google SecOps riproverà a inviare la richiesta. Se il problema persiste, contatta l'assistenza Google SecOps.

Errori di analisi e normalizzazione

Questi errori si verificano dopo l'importazione, durante il processo di mappatura dei log non elaborati al modello Unified Data Model (UDM). Se si verificano errori, Google SecOps potrebbe eliminare i log oppure potresti non essere in grado di cercarli utilizzando i campi UDM.

Tipo di errore del parser Error description Risoluzione dei problemi
Regex Il parser ha un problema con un'espressione regolare. Controlla la logica del parser. Per i parser predefiniti, contatta l'assistenza Google SecOps.
Invalid_config Si è verificato un problema con il file di configurazione del parser. Convalida e correggi il file di configurazione del parser.
Errore di convalida del batch di eventi di indicizzazione I dati normalizzati non superano i controlli dello schema. Esamina la mappatura del parser ai campi UDM per assicurarti che soddisfino i requisiti.
Backlog Il sistema ha ritardato la normalizzazione. I log non elaborati sono in coda in attesa di elaborazione. Se il ritardo persiste, contatta l'assistenza.
LOG_PARSING_DROPPED_NO_EVENTS Il parser non ha prodotto eventi, causando l'eliminazione del log. Controlla i log non elaborati per assicurarti che contengano dati che dovrebbero effettivamente generare eventi.
LOG_PARSING_DROPPED_BY_FILTER Un filtro di eliminazione esplicito nel parser ha causato l'eliminazione del log da parte del sistema. Rivedi le condizioni del filtro nel codice del parser. Spesso è intenzionale per i log senza valore di sicurezza.
LOG_PARSING_DROPPED_BY_FILTER: TAG_MALFORMED_ENCODING La codifica JSON o XML errata ha causato l'errore di analisi. Assicurati che l'origine log utilizzi una codifica supportata e ben formata.
LOG_PARSING_NO_PARSER_FOUND Il sistema non dispone di un parser per questo tipo di log. Verifica di aver impostato il LogType corretto e che un parser sia attivo per quel tipo.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.