Resolver problemas com agentes remotos

Compatível com:

Google SecOps SOAR

Este documento fornece uma coleção de dicas e procedimentos para ajudar você a diagnosticar e resolver problemas comuns encontrados durante a implantação e a operação do agente remoto do Google Security Operations.

Problema de incompatibilidade de chaves

Esse problema ocorre quando as chaves particulares no Google Security Operations e no agente remoto não correspondem. Para resolver isso, verifique se a chave nos recursos do agente corresponde à chave no agent_db do Siemplify.

Falha no conector remoto

Se um conector remoto falhar, siga estas etapas:

1. Verifique se uma instância de integrações foi instalada no agente.
2. Verifique os registros agênticos no nível de erro para encontrar falhas no processo de conexão.
3. Teste a mesma configuração do conector localmente e verifique se há erros.

Falha na implantação do agente do Docker

Se a implantação do Docker falhar, siga estas etapas:

1. Remova o contêiner do Docker:

   1. Execute o comando a seguir para listar os contêineres em execução:

      docker ps 

   2. Execute o comando a seguir para remover os contêineres com falha:

      docker rm -f container_id_or_name
2. Remover imagens:

   1. Execute o comando a seguir para listar as imagens:

      docker images 

   2. Execute o comando a seguir para remover a imagem:

      docker rmi image_id_or_name
3. Remova os volumes:

   1. Execute o comando a seguir para listar os volumes:

      docker volume ls

   2. Execute o comando a seguir para remover os volumes:

      docker volume rm volume_name
4. Reimplante o agente. Para mais informações, consulte Criar um agente usando o Docker.

Agente preso no status "Aguardando agente"

Se o agente foi implantado, mas o status continua "aguardando agente", siga estas etapas para resolver o problema:

1. Verificar a conectividade do host: teste a conectividade de Internet da máquina host do agente (por exemplo, curl www.google.com ou ping 8.8.8.8). Se isso falhar, o problema é com a conexão de Internet do host.

2. Verifique a conectividade do contêiner: se o teste do host for aprovado, insira o shell do contêiner usando docker exec -it container_ID bash e verifique a conectividade novamente. Se o contêiner não tiver conectividade, reinicie o serviço do Docker na máquina host (service docker restart).

   1. Execute este comando:

      docker exec -it bash

   2. Verifique a conectividade novamente como fez antes.
   3. Se não houver conectividade, execute o seguinte comando para reiniciar o serviço do Docker na máquina host (não no contêiner):

      service docker restart

   4. Execute o comando a seguir para iniciar o contêiner novamente:

      docker start

3. Analisar os registros de contêineres em busca de erros

   Se a etapa anterior não ajudar e o status do agente ainda for "aguardando agente" depois de atualizar a página Agente remoto no Google SecOps, faça login novamente no contêiner e extraia os registros.

   1. Encontre os registros no diretório /var/log/SiemplifyAgent/.
   2. Procure erros nos arquivos de registro para identificar a causa principal.

A imagem Docker não carrega (o encaminhamento de IP4 está desativado)

Se você receber um erro na CLI ao tentar carregar uma imagem Docker (sistema) ou um agente do Google SecOps, o encaminhamento de IP4 pode estar desativado. Siga estas etapas para ativar e reiniciar o agente:

1. Adicione a seguinte linha ao arquivo /etc/sysctl.conf:

   net.ipv4.ip_forward=1 Use um editor de arquivos, como o nano. Por exemplo: yum install nano -y
   

2. Execute o comando a seguir para reiniciar o serviço de rede:

   systemctl restart network

3. Execute o comando a seguir para reiniciar o serviço do Docker:

   sudo systemctl restart docker

4. Execute o seguinte comando para verificar se o contêiner está em execução:

   docker ps

5. Se o contêiner não estiver em execução, use o seguinte comando para listar todos os contêineres (incluindo os que foram interrompidos):

   docker ps -a

6. Se o contêiner estiver listado, mas interrompido, execute o seguinte comando para iniciá-lo:

   docker start container_id_or_name
7. Se o agente ou o sistema ainda não estiver em execução após a reinicialização do Docker e do contêiner:

   1. Execute o comando a seguir para interromper o contêiner:

      docker stop container_id_or_name

   2. Execute o comando a seguir para excluir o contêiner:

      docker rm container_id_or_name

   3. Execute o comando a seguir para excluir a imagem:

      docker rmi image_name
   4. Carregue a imagem novamente.

Erro após o desligamento ou reinicialização do agente

Execute o comando a seguir para forçar a inicialização do agente do instalador:
systemctl start supervisord

Execute o comando a seguir para forçar a inicialização do agente do Docker:
docker start

Falha na atualização do agente remoto

Se um upgrade anterior foi iniciado, mas não foi concluído, e a versão do agente remoto não mudou, aguarde 15 minutos e atualize a página Agente remoto no Google Security Operations. Em seguida, reinicie o upgrade.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.