Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Häufige Probleme beheben

Unterstützt in:

Google SecOps SOAR

Dieses Dokument enthält eine Sammlung von Tipps und Verfahren, mit denen Sie häufige Probleme bei der Bereitstellung und dem Betrieb des Google Security Operations Remote Agent diagnostizieren und beheben können.

Problem mit nicht übereinstimmenden Schlüsseln

Dieses Problem tritt auf, wenn die privaten Schlüssel in Google Security Operations und im Remote Agent nicht übereinstimmen. Prüfen Sie, ob der Schlüssel in den Agent-Ressourcen mit dem Schlüssel in der Siemplify-agent_db übereinstimmt.

Fehler bei Remote-Connector

Wenn ein Remote-Connector fehlschlägt, gehen Sie so vor:

Prüfen Sie, ob eine Integrationsinstanz erfolgreich auf dem Agent installiert wurde.
Prüfen Sie die agentischen Protokolle auf Fehlerebene, um Fehler im Verbindungsprozess zu finden.
Testen Sie dieselbe Connector-Konfiguration lokal und prüfen Sie, ob Fehler auftreten.

Installationsfehler: Nicht unterstütztes Hostbetriebssystem oder EOL-Inkompatibilitäten

Wenn Neuinstallationen oder automatische Upgrades aufgrund von glibc-Tracking-Fehlern und Systemaufrufblöcken fehlschlagen, führen Sie die folgenden Schritte aus:

Prüfen Sie, ob auf der Hostumgebung kein Legacy-Betriebssystem ausgeführt wird, da dieses möglicherweise keine modernen Systemaufruf-Hooks hat.
Hosten Sie die Agent-Umgebung auf einer Enterprise-Linux-Distribution mit der neuesten offiziellen Version.
Der Host muss eine unterstützte Plattform sein: Debian 12 (offizielle Basis), RHEL 8.7:
/etc/os-release prüfen: Führen Sie den folgenden Befehl aus und suchen Sie nach NAME= und VERSION_ID=:
```
cat /etc/os-release
```
- Für Debian 12: Suchen Sie nach NAME="Debian GNU/Linux" und VERSION_ID="12".
- Für RHEL 8.7: Suchen Sie nach NAME="Red Hat Enterprise Linux" und VERSION_ID="8.7".

Beim Einrichten des Containers wird die vorherige Betriebsebene anstelle des „aktuellen“ Builds abgerufen.

Wenn beim erneuten Ausführen von Befehlen zur Containereinrichtung versehentlich eine frühere Betriebsschicht anstelle des neu veröffentlichten Software-Builds abgerufen wird, führen Sie die folgenden Befehle aus, um das neueste Image explizit abzurufen:

Für Docker:
docker pull us-docker.pkg.dev/siem-ar-public/images/agent:latest
Für Podman:
podman pull us-docker.pkg.dev/siem-ar-public/images/agent:latest

Damit die Bereitstellung mit der aktuellen Softwareversion erfolgt, sollten Sie immer das neueste Image abrufen, bevor Sie den Befehl zum Ausführen des Agents ausführen.

Fehler bei der Bereitstellung des Docker-Agents

Wenn die Docker-Bereitstellung fehlschlägt, gehen Sie so vor:

Entfernen Sie den Docker-Container:
1. Führen Sie den folgenden Befehl aus, um die aktiven Container aufzulisten:
  docker ps
2. Führen Sie den folgenden Befehl aus, um die fehlgeschlagenen Container zu entfernen:
  docker rm -f container_id_or_name
Bilder entfernen:
1. Führen Sie den folgenden Befehl aus, um die Bilder aufzulisten:
  docker images
2. Führen Sie den folgenden Befehl aus, um das Image zu entfernen:
  docker rmi image_id_or_name
Volumes entfernen:
1. Führen Sie den folgenden Befehl aus, um die Volumes aufzulisten:
  docker volume ls
2. Führen Sie den folgenden Befehl aus, um die Volumes zu entfernen:
  docker volume rm volume_name
Stellen Sie den Agenten noch einmal bereit. Weitere Informationen finden Sie unter Agent mit Docker erstellen.

Agent bleibt im Status „Warten auf Agent“ hängen

Wenn der Agent erfolgreich bereitgestellt wurde, der Status jedoch weiterhin „Wartet auf Agent“ lautet, führen Sie die folgenden Schritte aus, um das Problem zu beheben:

Hostverbindung prüfen: Testen Sie die Internetverbindung des Agent-Hostcomputers (z. B. curl www.google.com oder ping 8.8.8.8). Wenn dieser Test fehlschlägt, liegt das Problem an der Internetverbindung des Hosts.
Containerverbindung prüfen: Wenn der Hosttest erfolgreich ist, rufen Sie die Container-Shell mit docker exec -it container_ID bash auf und prüfen Sie die Verbindung noch einmal. Wenn der Container keine Verbindung hat, starten Sie den Docker-Dienst auf dem Hostcomputer neu (service docker restart).
1. Führen Sie dazu diesen Befehl aus:
  
  docker exec -it bash
2. Prüfen Sie die Verbindung noch einmal wie zuvor.
3. Wenn keine Verbindung besteht, führen Sie den folgenden Befehl aus, um den Docker-Dienst auf dem Hostcomputer (nicht im Container) neu zu starten:
  service docker restart
4. Führen Sie den folgenden Befehl aus, um den Container neu zu starten:
  
  docker start
Containerlogs auf Fehler prüfen

Wenn der vorherige Schritt nicht geholfen hat und der Agent-Status nach dem Aktualisieren der Seite Remote agent in Google SecOps weiterhin „waiting for agent“ lautet, melden Sie sich wieder im Container an und rufen Sie die Logs ab.
1. Suchen Sie die Logs im Verzeichnis /var/log/SiemplifyAgent/.
2. Suchen Sie in den Logdateien nach Fehlern, um die Ursache zu ermitteln.

DNS-Netzwerkprobleme

Wenn im Container DNS-Auflösungsfehler oder Probleme mit der Netzwerkverbindung auftreten, fügen Sie dem Befehl docker run --network host hinzu. Im Hostnetzwerkmodus kann der Container den Netzwerkstack und die DNS-Konfiguration des Hostcomputers direkt nutzen.

Docker-Image kann nicht geladen werden (IP4-Weiterleitung ist deaktiviert)

Wenn Sie in der Befehlszeile einen Fehler sehen, wenn Sie versuchen, ein Google SecOps-Docker-Image (System) oder einen Agent zu laden, ist die IP4-Weiterleitung möglicherweise deaktiviert. So aktivieren Sie die Funktion und starten Ihren Agenten neu:

Fügen Sie der Datei /etc/sysctl.conf die folgende Zeile hinzu:
net.ipv4.ip_forward=1 Sie benötigen einen Dateieditor (z. B. nano): yum install nano -y
Führen Sie den folgenden Befehl aus, um den Netzwerkdienst neu zu starten:
systemctl restart network
Führen Sie den folgenden Befehl aus, um den Docker-Dienst neu zu starten:
sudo systemctl restart docker
Führen Sie den folgenden Befehl aus, um zu prüfen, ob der Container ausgeführt wird:
docker ps
Wenn der Container nicht ausgeführt wird, führen Sie den folgenden Befehl aus, um alle Container (einschließlich der beendeten) aufzulisten:
docker ps -a
Wenn der Container aufgeführt, aber beendet ist, führen Sie den folgenden Befehl aus, um ihn zu starten:
docker start container_id_or_name
Wenn der Agent oder das System nach dem Neustart von Docker und des Containers immer noch nicht ausgeführt wird:
1. Führen Sie den folgenden Befehl aus, um den Container zu beenden:
  docker stop container_id_or_name
2. Führen Sie den folgenden Befehl aus, um den Container zu löschen:
  docker rm container_id_or_name
3. Führen Sie den folgenden Befehl aus, um das Image zu löschen:
  docker rmi image_name
4. Laden Sie das Bild noch einmal.

Fehler nach dem Herunterfahren oder Neustarten des Agent

Führen Sie den folgenden Befehl aus, um den Start des Installer-Agents zu erzwingen:
systemctl start supervisord

Führen Sie den folgenden Befehl aus, um den Start des Docker-Agents zu erzwingen:
docker start

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten