פתרון בעיות בסוכנים מרוחקים

נתמך ב:

Google SecOps SOAR

במסמך הזה ריכזנו טיפים ונהלים שיעזרו לכם לאבחן ולפתור בעיות נפוצות שמתרחשות במהלך הפריסה והתפעול של Google Security Operations Remote Agent.

בעיה של אי התאמה במפתחות

הבעיה הזו מתרחשת כשהמפתחות הפרטיים ב-Google Security Operations ובסוכן המרוחק לא תואמים. כדי לפתור את הבעיה, צריך לוודא שהמפתח במשאבי הסוכן תואם למפתח ב-Siemplify agent_db.

כשל במחבר המרוחק

אם מחבר מרחוק נכשל, פועלים לפי השלבים הבאים:

1. מוודאים שמופע של שילוב הותקן בהצלחה בסוכן.
2. בודקים את יומני הפעילות של סוכן ברמת השגיאה כדי למצוא כשלים בתהליך החיבור.
3. בודקים את אותה הגדרת מחבר באופן מקומי כדי לראות אם יש שגיאות.

כשל בפריסת סוכן Docker

אם הפריסה של Docker נכשלת, פועלים לפי השלבים הבאים:

1. מסירים את מאגר Docker:

   1. מריצים את הפקודה הבאה כדי להציג את רשימת הקונטיינרים הפועלים:

      docker ps 

   2. מריצים את הפקודה הבאה כדי להסיר את הקונטיינרים שנכשלו:

      docker rm -f container_id_or_name
2. הסרת תמונות:

   1. מריצים את הפקודה הבאה כדי להציג את רשימת קובצי האימג':

      docker images 

   2. מריצים את הפקודה הבאה כדי להסיר את התמונה:

      docker rmi image_id_or_name
3. הסרת אמצעי אחסון:

   1. מריצים את הפקודה הבאה כדי להציג את עוצמות הקול:

      docker volume ls

   2. מריצים את הפקודה הבאה כדי להסיר את אמצעי האחסון:

      docker volume rm volume_name
4. פורסים מחדש את הסוכן. מידע נוסף זמין במאמר בנושא יצירת סוכן באמצעות Docker.

הסוכן נתקע בסטטוס 'בהמתנה לנציג'

אם הסוכן נפרס בהצלחה אבל הסטטוס נשאר 'בהמתנה לסוכן', פועלים לפי השלבים הבאים כדי לפתור את הבעיה:

1. בדיקת הקישוריות של המארח: בודקים את הקישוריות לאינטרנט של המחשב המארח של הסוכן (לדוגמה, curl www.google.com או ping 8.8.8.8). אם הבדיקה נכשלת, הבעיה היא בחיבור לאינטרנט של המארח.

2. בדיקת הקישוריות של הקונטיינר: אם הבדיקה של המארח עוברת, מזינים את מעטפת הקונטיינר באמצעות docker exec -it container_ID bash ובודקים מחדש את הקישוריות. אם אין קישוריות למאגר, מפעילים מחדש את שירות Docker במכונת המארח (service docker restart).

   1. מריצים את הפקודה הבאה:

      docker exec -it bash

   2. בודקים שוב את הקישוריות כמו שעשיתם קודם.
   3. אם אין קישוריות, מריצים את הפקודה הבאה כדי להפעיל מחדש את שירות Docker מהמחשב המארח (לא מהקונטיינר):

      service docker restart

   4. מריצים את הפקודה הבאה כדי להפעיל מחדש את הקונטיינר:

      docker start

3. בדיקת השגיאות ביומני הקונטיינר

   אם השלב הקודם לא עזר, וסטטוס הסוכן עדיין "ממתין לסוכן" אחרי רענון הדף Remote agent ב-Google SecOps, נכנסים שוב לקונטיינר ומורידים את היומנים.

   1. מחפשים את היומנים בספרייה /var/log/SiemplifyAgent/.
   2. כדי לזהות את שורש הבעיה, חפשו שגיאות בקובצי היומן.

טעינת קובץ האימג' של Docker נכשלת (העברת נתונים ב-IP4 מושבתת)

אם מופיעה שגיאה ב-CLI כשמנסים לטעון קובץ אימג' של Docker (מערכת) או סוכן של Google SecOps, יכול להיות שהעברת IP4 מושבתת. כדי להפעיל את התכונה ולהפעיל מחדש את הנציג, צריך לבצע את הפעולות הבאות:

1. מוסיפים את השורה הבאה לקובץ /etc/sysctl.conf:

   net.ipv4.ip_forward=1 שימו לב שתצטרכו להשתמש בכלי לעריכת קבצים (לדוגמה, nano). כך משתמשים בו: yum install nano -y
   

2. מריצים את הפקודה הבאה כדי להפעיל מחדש את שירות הרשת:

   systemctl restart network

3. מריצים את הפקודה הבאה כדי להפעיל מחדש את שירות Docker:

   sudo systemctl restart docker

4. מריצים את הפקודה הבאה כדי לבדוק אם הקונטיינר פועל:

   docker ps

5. אם מאגר התגים לא פועל, מריצים את הפקודה הבאה כדי להציג רשימה של כל מאגרי התגים (כולל אלה שהופסקה הפעולה שלהם):

   docker ps -a

6. אם הקונטיינר מופיע ברשימה אבל הוא במצב עצירה, מריצים את הפקודה הבאה כדי להפעיל אותו:

   docker start container_id_or_name
7. אם הסוכן או המערכת עדיין לא פועלים אחרי הפעלה מחדש של Docker והקונטיינר:

   1. מריצים את הפקודה הבאה כדי לעצור את הקונטיינר:

      docker stop container_id_or_name

   2. מריצים את הפקודה הבאה כדי למחוק את מאגר התגים:

      docker rm container_id_or_name

   3. מריצים את הפקודה הבאה כדי למחוק את קובץ האימג':

      docker rmi image_name
   4. טוענים את התמונה שוב.

שגיאה אחרי כיבוי או הפעלה מחדש של Agent

מריצים את הפקודה הבאה כדי לאלץ את ההפעלה של סוכן ההתקנה:
systemctl start supervisord

מריצים את הפקודה הבאה כדי להפעיל בכוח את סוכן Docker:‏
docker start

שדרוג הסוכן המרוחק נכשל

אם שדרוג קודם הופעל אבל לא הושלם בהצלחה וגרסת הסוכן המרוחק לא השתנתה, צריך לחכות 15 דקות ולרענן את הדף סוכן מרוחק ב-Google Security Operations. אחר כך אפשר להתחיל את השדרוג מחדש.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.