取り込みに関する問題のトラブルシューティング

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Google Security Operations でのデータの取り込みと正規化の際に発生する可能性のあるエラーと、その解決方法について説明します。取り込みの失敗を診断し、ドロップされたログを特定して、ダウンストリームへの影響を評価するには、次の表を使用してください。

このドキュメントでは、Google SecOps フォワーダー、Google SecOps Ingestion API、Google SecOps API フィード、サードパーティテクノロジーパートナーの取り込み方法のエラーについて説明します。

ソースと取り込みのエラー

次の場合に、次のエラーが発生することがあります。

ソースシステムからデータを取得する。
Google SecOps フォワーダーまたはサードパーティフィードが外部 API またはリソースと通信しようとする。

HTTP ステータスコード	エラーの理由	標準的なエラーコード	エラーメッセージ	Error description	トラブルシューティング
206	部分的なコンテンツ	REMOTE_SERVER_ERROR	部分的なコンテンツが原因でリモートサーバーエラーが発生しました。	アップストリームサーバーが、`MICROSOFT_GRAPH_ALERT` フィードの完全なデータセットではなく、部分的なコンテンツを返します。	これはアップストリーム API の問題です。Google SecOps は転送を自動的に再試行します。データは失われず、対応は不要です。
400	不正なリクエスト	INVALID_ARGUMENT	リクエストパラメータが無効です。	システムはソースへの接続を確立しましたが、無効な引数が原因でフィードが失敗しました。	ソースの承認、必要なロール、すべての必須フィールドが正しく入力されていることを確認します。ID、リージョン、名前に無効な文字がないことを確認し、ポーリング間隔などのパラメータが制限内であることを確認します。フィード構成を確認し、フィードのドキュメントを参照してください。問題が解決しない場合は、Google SecOps サポートにお問い合わせください。
401	未承認	LOGIN_FAILED	認証できませんでした。認証情報を確認して、もう一度お試しください。	システムは接続を確立しましたが、認証情報が正しくないか欠落しているため、承認に失敗しました。	ソースの認証情報を確認して再入力し、正しい認証情報で期限切れになっていないことを確認します。
403	禁止	ACCESS_DENIED / PERMISSION_DENIED	アクセスが拒否されました。認証情報に、このリソースにアクセスする権限がありません。	システムはソースへの接続を確立しましたが、認証情報にリソースに必要な権限がありません。	サービスまたは認証アカウントまたは API キーに、リソースに必要な Identity and Access Management（IAM）ロールまたは権限が付与されていることを確認します。詳しくは、フィード構成をご覧ください。たとえば、Azure ポータルで Azure Event Hub 接続文字列を再確認します。または、必要な権限については、フィードのドキュメントをご覧ください。権限については、ソースタイプ別の構成をご覧ください。
404	URL が見つかりません	FILE_NOT_FOUND / NOT_FOUND	エンドポイントが見つかりません。URL とリソースの詳細を確認します。	システムが特定のファイルまたはエンドポイントを見つけられませんでした。	以下を確認します。ファイルがソースに存在している。 API URL またはホスト名に誤字脱字がないか確認します。リソース ID（バケット名やサイト ID など）とリージョンが正しいことを確認します。適切なユーザーにその特定のパスへのアクセス権が付与されている。問題が解決しない場合は、Google SecOps サポートにお問い合わせください。
429		ACCESS_TOO_FREQUENT	フィードがタイムアウトしました。	ソースがリクエストをレート制限しています。試行回数が上限を超えてもソースに到達できなかったため、フィードが失敗しました。	通常、これは一時的な問題です。問題が解決しない場合は、Google SecOps サポートにお問い合わせください。
500				ソースへの接続は確立されましたが、ソースからデータが返されませんでした。	ソースが使用可能で、応答していることを確認します。問題が解決しない場合は、Google SecOps サポートにお問い合わせください。
502				フィードがゲートウェイエラーに遭遇しました。	このエラーは一時的なものであり、アプリケーションはリクエストを再試行します。問題が解決しない場合は、Google SecOps サポートにお問い合わせください。
503			一時的な接続の問題。	ソースまたはゲートウェイが応答しなかったか、タイムアウトしました。	ソースが使用可能で、応答していることを確認します。API をプログラムで呼び出す場合は、ジッター付き指数バックオフを使用します。
504				Google SecOps がソース IP アドレスとポートに接続できません。	このエラーは一時的なものであり、アプリケーションはリクエストを再試行します。以下を確認します。ソースが使用可能である。ファイアウォールが接続をブロックしていない。サーバーに関連付けられた IP アドレスが正しい。問題が解決しない場合は、Google SecOps サポートにお問い合わせください。
	汎用認証情報		認証情報を検証できません。構成の詳細を確認してください。		Google SecOps コンソールで設定された認証情報セットの一般的な構成の詳細を確認します。
		CONNECTION_DROPPED		システムはソースへの接続を確立しましたが、フィードが完了する前に接続が閉じられました。	このエラーは一時的なものであり、アプリケーションはリクエストを再試行します。問題が解決しない場合は、Google SecOps サポートにお問い合わせください。
		CONNECTION_FAILED	ソースに接続できません。	システムがネットワーク接続を確立できません。アプリケーションがソース IP アドレスとポートに接続できない。	ソースが使用可能で、ファイアウォールが接続をブロックしておらず、IP アドレスが正しいことを確認します。以下を確認します。ソースが使用可能である。ファイアウォールが接続をブロックしていない。サーバーに関連付けられた IP アドレスが正しい。問題が解決しない場合は、Google SecOps サポートにお問い合わせください。
		DNS_ERROR	DNS エラー。	システムがソースホスト名を解決できません。	フィードパラメータとソースネームサーバーの設定で URL を確認します。サーバーのホスト名にスペルミスがないか確認します。
		FILE_FAILED		システムはソースへの接続を確立しましたが、ファイルまたはリソースで問題が発生しました。	以下を確認します。ファイルが破損していない。ファイルレベルのアクセス許可が正しい。問題が解決しない場合は、Google SecOps サポートにお問い合わせください。
		GATEWAY_ERROR		API が Google SecOps による呼び出しに対してゲートウェイエラーを返しました。	フィードのソースの詳細を確認します。アプリケーションはリクエストを再試行します。
		INTERNAL_ERROR		内部エラーのため、データを取り込むことができません。	問題が解決しない場合は、Google SecOps サポートにお問い合わせください。
		INVALID_FEED_CONFIG		フィード構成に無効な値が含まれています。	フィード構成の中に設定の誤りがないか確認します。正しい構文については、フィードのドキュメントをご覧ください。
		INVALID_REMOTE_RESPONSE		ソースへの接続は確立されましたが、レスポンスが正しくありませんでした。	フィード構成を確認します。フィードの設定についての詳細情報を参照します。問題が解決しない場合は、Google SecOps サポートにお問い合わせください。
		INVALID_SECRET	秘密鍵が一致しません。		フィードで構成された秘密鍵と、Google SecOps が HTTP ヘッダーで受信した鍵が一致しないかどうかを確認します。たとえば、HTTPS プッシュ取り込みを使用する場合です。
		INVALID_SSL_CERTIFICATE	無効な SSL 証明書です。	システムがソースの SSL 証明書を検証できませんでした。	ソースの承認を確認し、サーバーの証明書が有効で信頼されていることを確認します。
		NO_RESPONSE		ソースへの接続は確立されましたが、ソースから応答がありませんでした。	ソースが Google SecOps からのリクエストをサポートできることを確認します。問題が解決しない場合は、Google SecOps サポートにお問い合わせください。
		REMOTE_SERVER_ERROR		ソースへの接続は確立されましたが、ソースからデータが返されませんでした。	ソースが使用可能で、応答としてデータが返されることを確認します。問題が解決しない場合は、Google SecOps サポートにお問い合わせください。
		REMOTE_SERVER_REPORTED_BAD_REQUEST		ソースへの接続は確立されましたが、ソースがリクエストを拒否しました。	フィード構成を確認します。詳しくはドキュメントをご覧ください問題が解決しない場合は、Google SecOps サポートにお問い合わせください。
		RESOURCE_EXHAUSTED	割り当てまたはレート制限を超えました。		リクエストの量が多いかデータの上限に達したために割り当てが拒否されているかどうかを確認します。ソースからリクエストが送信される頻度が多すぎます。割り当ての使用状況をモニタリングし、必要に応じてサポートにお問い合わせください。たとえば、Ingestion API または Google Workspace を使用する場合です。
		SOCKET_READ_TIMEOUT		ソースへの接続は確立されましたが、データ転送が完了する前に接続がタイムアウトしました。	このエラーは一時的なものであり、アプリケーションはリクエストを再試行します。問題が解決しない場合は、Google SecOps サポートにお問い合わせください。
		TOO_MANY_ERRORS		ソースから複数のエラーが発生したため、フィードがタイムアウトしました。	Google SecOps サポートにお問い合わせください。
		TRANSIENT_INTERNAL_ERROR		フィードで一時的な内部エラーが発生しました。	このエラーは一時的なものであり、アプリケーションはリクエストを再試行します。問題が解決しない場合は、Google SecOps サポートにお問い合わせください。
		UNSAFE_CONNECTION		IP アドレスが制限されているため、アプリケーションが接続できませんでした。	このエラーは一時的なものであり、Google SecOps はリクエストを再試行します。問題が解決しない場合は、Google SecOps サポートにお問い合わせください。

パーサーと正規化のエラー

これらのエラーは、取り込み後、未加工ログを Unified Data Model（UDM）にマッピングするプロセスで発生します。ここでエラーが発生すると、Google SecOps がログをドロップしたり、UDM フィールドを使用してログを検索できなくなることがあります。

パーサーエラータイプ	Error description	トラブルシューティング
Regex	パーサーに正規表現の問題があります。	パーサーのロジックを確認します。事前構築済みパーサーについては、Google SecOps サポートにお問い合わせください。
Invalid_config	パーサーの構成ファイルに問題があります。	パーサーの構成ファイルを検証して修正します。
インデックス登録イベントバッチ検証エラー	正規化されたデータがスキーマチェックに失敗します。	パーサーから UDM フィールドへのマッピングを確認して、要件を満たしていることを確認します。
バックログ	システムの正規化が遅延しました。	未加工ログが処理待ちのキューに入っています。遅延が続く場合は、サポートにお問い合わせください。
LOG_PARSING_DROPPED_NO_EVENTS	パーサーがイベントを生成しなかったため、ログがドロップされました。	未加工ログに、実際にイベントを生成するデータが含まれていることを確認します。
LOG_PARSING_DROPPED_BY_FILTER	パーサーの明示的なドロップフィルタにより、システムがログをドロップしました。	パーサーコードのフィルタ条件を確認します。セキュリティ値のないログでは、多くの場合、意図的に行われます。
LOG_PARSING_DROPPED_BY_FILTER: TAG_MALFORMED_ENCODING	不正な JSON または XML エンコードが原因で解析に失敗しました。	ログソースで、サポートされている適切な形式のエンコードが使用されていることを確認します。
LOG_PARSING_NO_PARSER_FOUND	このログタイプに対するパーサーがシステムにありません。	正しい LogType を設定し、そのタイプに対してパーサーがアクティブになっていることを確認します。

さらにサポートが必要な場合コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。