Soluciona los problemas comunes.

Compatible con:

Google SecOps SOAR

En este documento, se proporciona una colección de sugerencias y procedimientos para ayudarte a diagnosticar y resolver problemas comunes que se producen durante la implementación y el funcionamiento del agente remoto de Google Security Operations.

Problema de falta de coincidencia de la clave

Este problema se produce cuando las claves privadas de Google Security Operations y el agente remoto no coinciden. Para resolver este problema, asegúrate de que la clave de los recursos del agente coincida con la clave de agent_db de Siemplify.

Falla del conector remoto

Si un conector remoto falla, sigue estos pasos:

1. Verifica que una instancia de integraciones se haya instalado correctamente en el agente.
2. Verifica los registros del agente en el nivel de error para encontrar cualquier falla en el proceso de conexión.
3. Prueba la misma configuración del conector de forma local y verifica si hay errores.

Falla de instalación: SO del host no compatible o incompatibilidades de EOL

Si las instalaciones nuevas o las actualizaciones automáticas fallan debido a errores de seguimiento de glibc y bloqueos de llamadas al sistema, sigue estos pasos:

1. Verifica que el entorno host no ejecute un sistema operativo heredado, que puede carecer de hooks de llamadas al sistema modernos.
2. Vuelve a alojar el entorno del agente en una distribución de Linux empresarial con la versión oficial más reciente.
3. Asegúrate de que el host sea una plataforma compatible: Debian 12 (base oficial), RHEL 8.7:

   Verifica /etc/os-release: Ejecuta el siguiente comando y busca NAME= y VERSION_ID=:

   cat /etc/os-release

   • En Debian 12, busca NAME="Debian GNU/Linux" y VERSION_ID="12".
   • Para RHEL 8.7: Busca NAME="Red Hat Enterprise Linux" y VERSION_ID="8.7".

La configuración del contenedor extrae la capa operativa anterior en lugar de la compilación "más reciente".

Si, cuando vuelves a ejecutar los comandos de configuración del contenedor, se extrae de forma involuntaria una capa operativa anterior en lugar de la compilación de software recién lanzada, ejecuta los siguientes comandos para extraer de forma explícita la imagen más reciente:

• Para Docker:

  docker pull us-docker.pkg.dev/siem-ar-public/images/agent:latest

• Para Podman:

  podman pull us-docker.pkg.dev/siem-ar-public/images/agent:latest

Para asegurarte de que la implementación se ejecute en la versión de software más actualizada, siempre extrae la imagen más reciente antes de ejecutar el comando de ejecución del agente.

Falla en la implementación del agente de Docker

Si la implementación de Docker falla, sigue estos pasos:

1. Quita el contenedor de Docker:

   1. Ejecuta el siguiente comando para enumerar los contenedores en ejecución:

      docker ps 

   2. Ejecuta el siguiente comando para quitar los contenedores con errores:

      docker rm -f container_id_or_name
2. Quita imágenes:

   1. Ejecuta el siguiente comando para enumerar las imágenes:

      docker images 

   2. Ejecuta el siguiente comando para quitar la imagen:

      docker rmi image_id_or_name
3. Quita volúmenes:

   1. Ejecuta el siguiente comando para enumerar los volúmenes:

      docker volume ls

   2. Ejecuta el siguiente comando para quitar los volúmenes:

      docker volume rm volume_name
4. Vuelve a implementar el agente. Para obtener más información, consulta Crea un agente con Docker.

El agente se queda en el estado "Esperando al agente"

Si el agente se implementó correctamente, pero el estado sigue siendo “Esperando al agente”, sigue estos pasos para solucionar el problema:

1. Verifica la conectividad del host: Prueba la conectividad a Internet de la máquina anfitrión del agente (por ejemplo, curl www.google.com o ping 8.8.8.8). Si esta prueba falla, el problema está en la conexión a Internet del host.

2. Verifica la conectividad del contenedor: Si la prueba del host se aprueba, ingresa a la shell del contenedor con docker exec -it container_ID bash y vuelve a verificar la conectividad. Si el contenedor no tiene conectividad, reinicia el servicio de Docker en la máquina anfitrión (service docker restart).

   1. Ejecuta el comando siguiente:

      docker exec -it bash

   2. Vuelve a verificar la conectividad como lo hiciste antes.
   3. Si no hay conectividad, ejecuta el siguiente comando para reiniciar el servicio de Docker desde la máquina host (no el contenedor):

      service docker restart

   4. Ejecuta el siguiente comando para iniciar el contenedor de nuevo:

      docker start

3. Revisa los registros del contenedor en busca de errores

   Si el paso anterior no ayudó y el estado del agente sigue siendo "waiting for agent" después de actualizar la página Remote agent en Google SecOps, vuelve a acceder al contenedor y extrae los registros.

   1. Busca los registros en el directorio /var/log/SiemplifyAgent/.
   2. Busca errores en los archivos de registro para identificar la causa raíz.

Problemas de redes de DNS

Si el contenedor experimenta errores de resolución de DNS o problemas de conectividad de red, agrega --network host al comando docker run. El uso del modo de red del host permite que el contenedor comparta directamente la pila de red y la configuración de DNS de la máquina anfitrión.

Nota: El modo de red del host solo funciona con un agente por máquina anfitrión.

No se puede cargar la imagen de Docker (el reenvío de IPv4 está inhabilitado)

Si ves un error en la CLI cuando intentas cargar una imagen o un agente de Docker de Google SecOps (sistema), es posible que el reenvío de IP4 esté inhabilitado. Sigue estos pasos para habilitarlo y reiniciar el agente:

1. Agrega la siguiente línea al archivo /etc/sysctl.conf:

   net.ipv4.ip_forward=1 Ten en cuenta que deberás usar un editor de archivos (como nano, por ejemplo, usa: yum install nano -y
   

2. Ejecuta el siguiente comando para reiniciar el servicio de red:

   systemctl restart network

3. Ejecuta el siguiente comando para reiniciar el servicio de Docker:

   sudo systemctl restart docker

4. Ejecuta el siguiente comando para verificar si el contenedor se está ejecutando:

   docker ps

5. Si el contenedor no se está ejecutando, ejecuta el siguiente comando para enumerar todos los contenedores (incluidos los detenidos):

   docker ps -a

6. Si el contenedor aparece en la lista, pero está detenido, ejecuta el siguiente comando para iniciarlo:

   docker start container_id_or_name
7. Si el agente o el sistema aún no se ejecutan después de reiniciar Docker y el contenedor, haz lo siguiente:

   1. Ejecuta el siguiente comando para detener el contenedor:

      docker stop container_id_or_name

   2. Ejecuta el siguiente comando para borrar el contenedor:

      docker rm container_id_or_name

   3. Ejecuta el siguiente comando para borrar la imagen:

      docker rmi image_name
   4. Vuelve a cargar la imagen.

Error después de apagar o reiniciar el agente

Ejecuta el siguiente comando para forzar el inicio del agente del instalador:
systemctl start supervisord

Ejecuta el siguiente comando para forzar el inicio del agente de Docker:
docker start

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.