取り込みに関する問題のトラブルシューティング

以下でサポートされています。

このドキュメントでは、Google Security Operations でのデータの取り込みと正規化の際に発生する可能性のあるエラーと、その解決方法について説明します。次の表を使用して、取り込みの失敗を診断し、ドロップされたログを特定して、ダウンストリームへの影響を評価します。

このドキュメントでは、Google SecOps 転送、Google SecOps 取り込み API、Google SecOps API フィード、サードパーティ テクノロジー パートナーの取り込み方法のエラーについて説明します。

ソースエラーと取り込みエラー

次のような場合に、次のエラーが発生することがあります。

  • ソースシステムからデータを取得する。
  • Google SecOps フォワーダーまたはサードパーティ フィードが、外部 API またはリソースとの通信を試みます。
HTTP ステータス コード エラーの理由 標準的なエラーコード エラー メッセージ Error description トラブルシューティング
206 部分的なコンテンツ REMOTE_SERVER_ERROR 部分的なコンテンツによるリモート サーバーエラー。 アップストリーム サーバーは、MICROSOFT_GRAPH_ALERT フィードのデータセット全体ではなく、部分的なコンテンツを返します。 これはアップストリーム API の問題です。Google SecOps は転送を自動的に再試行します。データは失われず、対応は不要です。
400 不正なリクエスト INVALID_ARGUMENT リクエスト パラメータが無効です。 システムはソースへの接続を確立しましたが、無効な引数が理由でフィードが失敗しました。 ソースの承認、必要なロール、すべての必須フィールドが正しく入力されていることを確認します。ID、リージョン、名前に無効な文字がないか確認し、ポーリング間隔などのパラメータが制限内であることを確認します。フィードの設定を確認し、フィードのドキュメントを参照してください。問題が解決しない場合は、Google SecOps サポートにお問い合わせください。
401 未承認 LOGIN_FAILED 認証に失敗しました。認証情報を確認して、もう一度お試しください。 システムは接続を確立しましたが、認証情報が正しくないか欠落しているため、認証に失敗しました。 ソースの認証情報を確認して再入力し、認証情報が正しく、期限切れになっていないことを確認します。
403 禁止 ACCESS_DENIED / PERMISSION_DENIED アクセスが拒否されました。このリソースにアクセスする権限が認証情報にありません。 システムはソースへの接続を確立しましたが、認証情報にリソースに必要な権限がありません。 サービス、認証アカウント、API キーに、リソースに必要な Identity and Access Management（IAM）ロールまたは権限があることを確認します。詳しくは、フィードの構成をご覧ください。たとえば、Azure ポータルで Azure Event Hub 接続文字列を再確認します。または、必要な権限についてはフィードのドキュメントをご覧ください。権限については、ソースタイプ別の構成をご覧ください。
404 URL が見つかりません FILE_NOT_FOUND / NOT_FOUND エンドポイントが見つかりません。URL とリソースの詳細を確認します。 システムが特定のファイルまたはエンドポイントを見つけられませんでした。

以下を確認します。

  • ファイルがソースに存在します。
  • API の URL またはホスト名に入力ミスがないか確認します。
  • リソース ID（バケット名やサイト ID など）とリージョンが正しいことを確認します。
  • 適切なユーザーがその特定のパスにアクセスできる。

問題が解決しない場合は、Google SecOps サポートにお問い合わせください。
429 ACCESS_TOO_FREQUENT フィードがタイムアウトしました。 ソースがリクエストのレート制限を行っている。試行回数が上限を超えてもソースに到達できなかったため、フィードが失敗しました。 通常、これは一時的な問題です。問題が解決しない場合は、Google SecOps サポートにお問い合わせください。
500 ソースへの接続は確立されましたが、ソースからデータが返されませんでした。 ソースが使用可能で、応答していることを確認します。問題が解決しない場合は、Google SecOps サポートにお問い合わせください。
502 フィードがゲートウェイ エラーに遭遇しました。 このエラーは一時的なもので、アプリケーションはリクエストを再試行します。問題が解決しない場合は、Google SecOps サポートにお問い合わせください。
503 一時的な接続の問題。 ソースまたはゲートウェイが応答に失敗したか、タイムアウトしました。 ソースが使用可能で、応答していることを確認します。API をプログラムで呼び出す場合は、ジッター付き指数バックオフを使用します。
504 Google SecOps がソース IP アドレスとポートに接続できません。 このエラーは一時的なものであり、アプリケーションはリクエストを再試行します。

以下を確認します。

  • ソースは利用可能です。
  • ファイアウォールが接続をブロックしていない。
  • サーバーに関連付けられている IP アドレスが正しい。

問題が解決しない場合は、Google SecOps サポートにお問い合わせください。
汎用認証情報 認証情報を検証できません。構成の詳細を確認します。 Google SecOps コンソールで、認証情報セットの一般的な構成の詳細を確認します。
CONNECTION_DROPPED システムはソースへの接続を確立しましたが、フィードが完了する前に接続が閉じられました。 このエラーは一時的なものであり、アプリケーションはリクエストを再試行します。問題が解決しない場合は、Google SecOps サポートにお問い合わせください。
CONNECTION_FAILED ソースに接続できません。 システムがネットワーク接続を確立できません。アプリケーションがソース IP アドレスとポートに接続できない。 ソースが使用可能であること、ファイアウォールが接続をブロックしていないこと、IP アドレスが正しいことを確認します。

以下を確認します。

  • ソースは利用可能です。
  • ファイアウォールが接続をブロックしていない。
  • サーバーに関連付けられている IP アドレスが正しい。

    • 問題が解決しない場合は、Google SecOps サポートにお問い合わせください。
DNS_ERROR DNS エラー。 システムがソース ホスト名を解決できません。 フィード パラメータとソース ネームサーバーの設定で URL を確認します。サーバーのホスト名にスペルミスがないか確認します。
FILE_FAILED システムはソースへの接続を確立しましたが、ファイルまたはリソースで問題が発生しました。

以下を確認します。

  • ファイルが破損していない。
  • ファイルレベルのアクセス許可が正しい。

問題が解決しない場合は、Google SecOps サポートにお問い合わせください。
GATEWAY_ERROR API が Google SecOps による呼び出しに対してゲートウェイ エラーを返しました。 フィードのソースの詳細を確認します。アプリケーションはリクエストを再試行します。
INTERNAL_ERROR 内部エラーのため、データを取り込めません。 問題が解決しない場合は、Google SecOps サポートにお問い合わせください。
INVALID_FEED_CONFIG フィード構成に無効な値が含まれています。 フィード構成の中に設定の誤りがないか確認します。正しい構文については、フィードのドキュメントをご覧ください。
INVALID_REMOTE_RESPONSE ソースへの接続は確立されましたが、レスポンスが正しくありませんでした。 フィードの構成を確認します。フィードの設定についての詳細情報を参照します。問題が解決しない場合は、Google SecOps サポートにお問い合わせください。
INVALID_SECRET 秘密鍵が一致しません。 フィードで構成されたシークレット キーと、Google SecOps が HTTP ヘッダーで受信したキーの不一致を確認します。たとえば、HTTPS プッシュ取り込みを使用する場合です。
INVALID_SSL_CERTIFICATE SSL 証明書が無効です。 システムがソースの SSL 証明書を検証できませんでした。 ソース認証を確認し、サーバーの証明書が有効で信頼できることを確認します。
NO_RESPONSE ソースへの接続は確立されましたが、ソースからレスポンスが返されませんでした。 ソースが Google SecOps からのリクエストをサポートできることを確認します。問題が解決しない場合は、Google SecOps サポートにお問い合わせください。
REMOTE_SERVER_ERROR ソースへの接続は確立されましたが、ソースからデータが返されませんでした。 ソースが使用可能で、応答としてデータが返されることを確認します。問題が解決しない場合は、Google SecOps サポートにお問い合わせください。
REMOTE_SERVER_REPORTED_BAD_REQUEST ソースへの接続は確立されましたが、ソースがリクエストを拒否しました。 フィードの構成を確認します。詳しくは、フィードのドキュメントをご覧ください。問題が解決しない場合は、Google SecOps サポートにお問い合わせください。
RESOURCE_EXHAUSTED 割り当てまたはレート制限を超えました。 リクエスト数の多さやデータ上限が原因で割り当てが拒否されていないか確認します。ソースがリクエストを送信する頻度が高すぎます。割り当ての使用量をモニタリングし、必要に応じてサポートにお問い合わせください。たとえば、Ingestion API や Google Workspace を使用している場合などです。
SOCKET_READ_TIMEOUT ソースへの接続は確立されましたが、データ転送が完了する前に接続がタイムアウトしました。 このエラーは一時的なものであり、アプリケーションはリクエストを再試行します。問題が解決しない場合は、Google SecOps サポートにお問い合わせください。
TOO_MANY_ERRORS ソースから複数のエラーが発生したため、フィードがタイムアウトしました。 Google SecOps サポートにお問い合わせください。
TRANSIENT_INTERNAL_ERROR フィードで一時的な内部エラーが発生しました。 このエラーは一時的なもので、アプリケーションはリクエストを再試行します。問題が解決しない場合は、Google SecOps サポートにお問い合わせください。
UNSAFE_CONNECTION IP アドレスが制限されているため、アプリケーションは接続できませんでした。 このエラーは一時的なものであり、Google SecOps はリクエストを再試行します。問題が解決しない場合は、Google SecOps サポートにお問い合わせください。

パーサーと正規化のエラー

これらのエラーは、取り込み後、未加工ログを Unified Data Model（UDM）にマッピングするプロセス中に発生します。ここでエラーが発生すると、Google SecOps がログをドロップしたり、UDM フィールドを使用してログを検索できなくなる可能性があります。

パーサーのエラータイプ Error description トラブルシューティング
正規表現 パーサーで正規表現に関する問題が発生しました。 パーサーのロジックを確認します。事前構築済みパーサーについては、Google SecOps サポートにお問い合わせください。
Invalid_config パーサーの構成ファイルに問題があります。 パーサー構成ファイルを検証して修正します。
インデックス登録イベント バッチの検証エラー 正規化されたデータがスキーマ チェックに失敗します。 パーサーの UDM フィールドへのマッピングを確認して、要件を満たしていることを確認します。
バックログ システムが正規化を遅延させました。 未加工のログが処理待ちのキューに入っています。遅延が続く場合は、サポートにお問い合わせください。
LOG_PARSING_DROPPED_NO_EVENTS パーサーがイベントを生成しなかったため、ログがドロップされました。 イベントを実際に生成するデータがログに含まれていることを確認します。
LOG_PARSING_DROPPED_BY_FILTER パーサーの明示的なドロップ フィルタが原因で、システムがログをドロップしました。 パーサーコードでフィルタ条件を確認します。セキュリティ上の価値がないログについては、多くの場合、意図的に行われています。
LOG_PARSING_DROPPED_BY_FILTER: TAG_MALFORMED_ENCODING JSON または XML のエンコードが正しくないため、解析に失敗しました。 ログソースで、サポートされている適切な形式のエンコードが使用されていることを確認します。
LOG_PARSING_NO_PARSER_FOUND このログタイプにはパーサーがありません。 正しい LogType が設定され、そのタイプに対してパーサーがアクティブであることを確認します。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。