O Google usa tecnologia de IA na tradução de conteúdos para seu idioma de preferência. As traduções com IA podem ter erros.

Resolver problemas comuns

Compatível com:

Google SecOps SOAR

Este documento fornece uma coleção de dicas e procedimentos para ajudar você a diagnosticar e resolver problemas comuns encontrados durante a implantação e a operação do agente remoto do Google Security Operations.

Problema de incompatibilidade de chaves

Esse problema ocorre quando as chaves privadas no Google Security Operations e no agente remoto não correspondem. Para resolver isso, verifique se a chave nos recursos do agente corresponde à chave no agent_db do Siemplify.

Falha no conector remoto

Se um conector remoto falhar, siga estas etapas:

Verifique se uma instância de integrações foi instalada no agente.
Verifique os registros agênticos no nível de erro para encontrar falhas no processo de conexão.
Teste a mesma configuração do conector localmente e verifique se há erros.

Falha na instalação: SO host não compatível ou incompatibilidades de EOL

Se as novas instalações ou os upgrades automáticos falharem devido a erros de rastreamento da glibc e bloqueios de chamadas do sistema, siga estas etapas:

Verifique se o ambiente host não está executando um sistema operacional legado, que pode não ter hooks de chamada de sistema modernos.
Rehospede o ambiente do agente em uma distribuição Linux empresarial com a versão oficial mais recente.
Verifique se o host é uma plataforma compatível: Debian 12 (base oficial), RHEL 8.7:
Verifique /etc/os-release: execute o comando a seguir e procure NAME= e VERSION_ID=:
```
cat /etc/os-release
```
- Para o Debian 12: procure NAME="Debian GNU/Linux" e VERSION_ID="12".
- Para o RHEL 8.7: procure NAME="Red Hat Enterprise Linux" e VERSION_ID="8.7".

A configuração do contêiner extrai a camada operacional anterior em vez do build "mais recente"

Se a nova execução dos comandos de configuração do contêiner extrair inadvertidamente uma camada operacional anterior em vez do build de software recém-lançado, execute os comandos a seguir para extrair explicitamente a imagem mais recente:

Para o Docker:
docker pull us-docker.pkg.dev/siem-ar-public/images/agent:latest
Para Podman:
podman pull us-docker.pkg.dev/siem-ar-public/images/agent:latest

Para garantir que a implantação seja executada na versão mais atualizada do software, sempre extraia a imagem mais recente antes de executar o comando de execução do agente.

Falha na implantação do agente do Docker

Se a implantação do Docker falhar, siga estas etapas:

Remova o contêiner do Docker:
1. Execute o comando a seguir para listar os contêineres em execução:
  docker ps
2. Execute o seguinte comando para remover os contêineres com falha:
  docker rm -f container_id_or_name
Remover imagens:
1. Execute o comando a seguir para listar as imagens:
  docker images
2. Execute o comando a seguir para remover a imagem:
  docker rmi image_id_or_name
Remova os volumes:
1. Execute o comando a seguir para listar os volumes:
  docker volume ls
2. Execute o comando a seguir para remover os volumes:
  docker volume rm volume_name
Reimplante o agente. Para mais informações, consulte Criar um agente usando o Docker.

O agente está travado no status "Aguardando agente"

Se o agente foi implantado, mas o status continua "aguardando agente", siga estas etapas para resolver o problema:

Verifique a conectividade do host: teste a conectividade com a Internet da máquina host do agente (por exemplo, curl www.google.com ou ping 8.8.8.8). Se isso falhar, o problema é com a conexão de Internet do host.
Verifique a conectividade do contêiner: se o teste do host for aprovado, insira o shell do contêiner usando docker exec -it container_ID bash e verifique a conectividade novamente. Se o contêiner não tiver conectividade, reinicie o serviço do Docker na máquina host (service docker restart).
1. Execute este comando:
  
  docker exec -it bash
2. Verifique a conectividade novamente como fez antes.
3. Se não houver conectividade, execute o seguinte comando para reiniciar o serviço do Docker na máquina host (não no contêiner):
  service docker restart
4. Execute o comando a seguir para iniciar o contêiner novamente:
  
  docker start
Analisar os registros de contêiner em busca de erros

Se a etapa anterior não ajudar e o status do agente ainda for "aguardando agente" depois de atualizar a página Agente remoto no Google SecOps, faça login novamente no contêiner e extraia os registros.
1. Encontre os registros no diretório /var/log/SiemplifyAgent/.
2. Procure erros nos arquivos de registro para identificar a causa principal.

Problemas de rede de DNS

Se o contêiner tiver falhas de resolução de DNS ou problemas de conectividade de rede, adicione --network host ao comando docker run. Usar o modo de rede do host permite que o contêiner compartilhe diretamente a pilha de rede e a configuração de DNS da máquina host.

A imagem Docker não carrega (o encaminhamento de IP4 está desativado)

Se você encontrar um erro na CLI ao tentar carregar uma imagem Docker (sistema) ou um agente do Google SecOps, o encaminhamento IP4 pode estar desativado. Siga estas etapas para ativá-lo e reiniciar o agente:

Adicione a seguinte linha ao arquivo /etc/sysctl.conf:
net.ipv4.ip_forward=1 Será necessário usar um editor de arquivos (como o nano, por exemplo: yum install nano -y
Execute o comando a seguir para reiniciar o serviço de rede:
systemctl restart network
Execute o comando a seguir para reiniciar o serviço do Docker:
sudo systemctl restart docker
Execute o comando a seguir para verificar se o contêiner está em execução:
docker ps
Se o contêiner não estiver em execução, execute o seguinte comando para listar todos os contêineres, incluindo os interrompidos:
docker ps -a
Se o contêiner estiver listado, mas parado, execute o seguinte comando para iniciá-lo:
docker start container_id_or_name
Se o agente ou o sistema ainda não estiver em execução após a reinicialização do Docker e do contêiner:
1. Execute o comando a seguir para interromper o contêiner:
  docker stop container_id_or_name
2. Execute o comando a seguir para excluir o contêiner:
  docker rm container_id_or_name
3. Execute o comando a seguir para excluir a imagem:
  docker rmi image_name
4. Carregue a imagem novamente.

Erro após o desligamento ou a reinicialização do agente

Execute o comando a seguir para forçar a inicialização do agente do instalador:
systemctl start supervisord

Execute o comando a seguir para forçar a inicialização do agente do Docker:
docker start

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.