Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

Risolvere i problemi comuni

Supportato in:

Google SecOps SOAR

Questo documento fornisce una raccolta di suggerimenti e procedure per aiutarti a diagnosticare e risolvere i problemi comuni riscontrati durante il deployment e il funzionamento dell'agente remoto di Google Security Operations.

Problema di mancata corrispondenza delle chiavi

Questo problema si verifica quando le chiavi private in Google Security Operations e l'agente remoto non corrispondono. Per risolvere il problema, assicurati che la chiave nelle risorse dell'agente corrisponda a quella in Siemplify agent_db.

Errore del connettore remoto

Se un connettore remoto non funziona, segui questi passaggi:

Verifica che un'istanza di integrazioni sia stata installata correttamente sull'agente.
Controlla i log dell'agente a livello di errore per trovare eventuali errori nella procedura di connessione.
Testa la stessa configurazione del connettore localmente e verifica se sono presenti errori.

Errore di installazione: sistema operativo host non supportato o incompatibilità di fine ciclo di vita

Se le nuove installazioni o gli upgrade automatici non riescono a causa di errori di monitoraggio di glibc e blocchi di chiamate di sistema, segui questi passaggi:

Verifica che l'ambiente host non esegua un sistema operativo legacy, che potrebbe non disporre di hook di chiamate di sistema moderni.
Esegui nuovamente l'hosting dell'ambiente dell'agente su una distribuzione Linux aziendale con l'ultima versione ufficiale.
Assicurati che l'host sia una piattaforma supportata: Debian 12 (base ufficiale), RHEL 8.7:
Controlla /etc/os-release: esegui il comando seguente e cerca NAME= e VERSION_ID=:
```
cat /etc/os-release
```
- Per Debian 12: cerca NAME="Debian GNU/Linux" e VERSION_ID="12".
- Per RHEL 8.7: cerca NAME="Red Hat Enterprise Linux" e VERSION_ID="8.7".

La configurazione del container estrae il livello operativo precedente anziché la build "più recente"

Se la nuova esecuzione dei comandi di configurazione del container estrae inavvertitamente un livello operativo precedente anziché la build del software appena rilasciata, esegui i seguenti comandi per estrarre esplicitamente l'immagine più recente:

Per Docker:
docker pull us-docker.pkg.dev/siem-ar-public/images/agent:latest
Per Podman:
podman pull us-docker.pkg.dev/siem-ar-public/images/agent:latest

Per assicurarti che il deployment venga eseguito sulla release software più aggiornata, esegui sempre il pull dell'ultima immagine prima di eseguire il comando di esecuzione dell'agente.

Deployment dell'agente Docker non riuscito

Se il deployment di Docker non riesce, segui questi passaggi:

Rimuovi il container Docker:
1. Esegui questo comando per elencare i container in esecuzione:
  docker ps
2. Esegui questo comando per rimuovere i container non riusciti:
  docker rm -f container_id_or_name
Rimuovi le immagini:
1. Esegui questo comando per elencare le immagini:
  docker images
2. Esegui questo comando per rimuovere l'immagine:
  docker rmi image_id_or_name
Rimuovi i volumi:
1. Esegui questo comando per elencare i volumi:
  docker volume ls
2. Esegui questo comando per rimuovere i volumi:
  docker volume rm volume_name
Esegui di nuovo il deployment dell'agente. Per saperne di più, consulta Crea un agente utilizzando Docker.

L'agente è bloccato nello stato "In attesa dell'agente"

Se il deployment dell'agente è stato eseguito correttamente, ma lo stato rimane "In attesa dell'agente", segui questi passaggi per risolvere il problema:

Controlla la connettività dell'host: testa la connettività a internet della macchina host dell'agente (ad esempio, curl www.google.com o ping 8.8.8.8). Se il test non va a buon fine, il problema riguarda la connessione a internet dell'host.
Controlla la connettività del container: se il test dell'host viene superato, inserisci la shell del container utilizzando docker exec -it container_ID bash e controlla di nuovo la connettività. Se il container non dispone di connettività, riavvia il servizio Docker sulla macchina host (service docker restart).
1. Esegui questo comando:
  
  docker exec -it bash
2. Controlla di nuovo la connettività come hai fatto in precedenza.
3. Se non è presente connettività, esegui questo comando per riavviare il servizio Docker dalla macchina host (non dal container):
  service docker restart
4. Esegui questo comando per avviare di nuovo il container:
  
  docker start
Esamina i log dei container per individuare errori

Se il passaggio precedente non ha risolto il problema e lo stato dell'agente è ancora "In attesa dell'agente" dopo aver aggiornato la pagina Agente remoto in Google SecOps, accedi di nuovo al container ed estrai i log.
1. Trova i log nella directory /var/log/SiemplifyAgent/.
2. Cerca eventuali errori nei file di log per identificare la causa principale.

Problemi di rete DNS

Se il container presenta errori di risoluzione DNS o problemi di connettività di rete, aggiungi --network host al comando docker run. L'utilizzo della modalità di rete host consente al container di condividere direttamente lo stack di rete e la configurazione DNS della macchina host.

Impossibile caricare l'immagine Docker (l'inoltro IP4 è disabilitato)

Se visualizzi un errore nella CLI quando provi a caricare un'immagine Docker (di sistema) o un agente Google SecOps, l'inoltro IP4 potrebbe essere disattivato. Segui questi passaggi per attivarlo e riavviare l'agente:

Aggiungi la seguente riga al file /etc/sysctl.conf:
net.ipv4.ip_forward=1 Tieni presente che dovrai utilizzare un editor di file (ad esempio nano): yum install nano -y
Esegui questo comando per riavviare il servizio di rete:
systemctl restart network
Esegui questo comando per riavviare il servizio Docker:
sudo systemctl restart docker
Esegui questo comando per verificare se il container è in esecuzione:
docker ps
Se il container non è in esecuzione, esegui il comando seguente per elencare tutti i container (inclusi quelli arrestati):
docker ps -a
Se il container è elencato ma arrestato, esegui questo comando per avviarlo:
docker start container_id_or_name
Se l'agente o il sistema non sono ancora in esecuzione dopo il riavvio di Docker e del container:
1. Esegui questo comando per arrestare il container:
  docker stop container_id_or_name
2. Esegui questo comando per eliminare il container:
  docker rm container_id_or_name
3. Esegui questo comando per eliminare l'immagine:
  docker rmi image_name
4. Carica di nuovo l'immagine.

Errore dopo l'arresto o il riavvio dell'agente

Esegui questo comando per forzare l'avvio dell'agente di installazione:
systemctl start supervisord

Esegui questo comando per forzare l'avvio dell'agente Docker:
docker start

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.