疑難排解常見問題

支援：

本文提供一系列提示和程序，協助您診斷及解決部署和操作 Google Security Operations 遠端代理程式時遇到的常見問題。

金鑰不符問題

如果 Google Security Operations 和遠端代理程式中的私密金鑰不相符，就會發生這個問題。如要解決這個問題，請確認代理程式資源中的金鑰與 Siemplify agent_db 中的金鑰相符。

遠端連接器故障

如果遠端連接器發生故障，請按照下列步驟操作：

  1. 確認整合執行個體已成功安裝在代理程式上。
  2. 檢查代理程式記錄的錯誤層級，找出連線程序中的任何失敗。
  3. 在本機測試相同的連接器設定，看看是否有錯誤。

安裝失敗：主機 OS 不受支援或 EOL 不相容

如果因 glibc 追蹤錯誤和系統呼叫封鎖，導致全新安裝或自動升級失敗，請按照下列步驟操作：

  1. 確認主機環境並非執行舊版作業系統，因為這類系統可能缺少新式系統呼叫掛鉤。
  2. 在企業 Linux 發行版上重新託管代理程式環境，並使用最新官方版本。
  3. 確認主機為支援的平台：Debian 12 (官方基礎)、RHEL 8.7：

    檢查 /etc/os-release：執行下列指令，並尋找 NAME= 和 VERSION_ID=：

    cat /etc/os-release
    • Debian 12：尋找 NAME="Debian GNU/Linux" 和 VERSION_ID="12"。
    • 如果是 RHEL 8.7：請尋找 NAME="Red Hat Enterprise Linux" 和 VERSION_ID="8.7"。

容器設定會提取先前的作業層，而非「最新」版本

如果重新執行容器設定指令時，不慎提取了先前的作業層，而非新發布的軟體建構版本，請執行下列指令，明確提取最新映像檔：

  • Docker：

    docker pull us-docker.pkg.dev/siem-ar-public/images/agent:latest

  • Podman：

    podman pull us-docker.pkg.dev/siem-ar-public/images/agent:latest

為確保部署作業使用最新軟體版本，請務必在執行代理程式執行指令前，先提取最新映像檔。

Docker 代理程式部署失敗

如果 Docker 部署作業失敗，請按照下列步驟操作：

  1. 移除 Docker 容器：

    1. 執行下列指令，列出執行中的容器：

      docker ps 

    2. 執行下列指令，移除失敗的容器：

      docker rm -f container_id_or_name
  2. 移除圖片：

    1. 執行下列指令來列出映像檔：

      docker images 

    2. 執行下列指令來移除映像檔：

      docker rmi image_id_or_name
  3. 移除磁碟區：

    1. 執行下列指令來列出磁碟區：

      docker volume ls

    2. 執行下列指令來移除磁碟區：

      docker volume rm volume_name
  4. 重新部署代理。詳情請參閱「使用 Docker 建立代理程式」。

代理程式卡在「等待代理程式」狀態

如果代理程式已成功部署，但狀態仍為「等待代理程式」，請按照下列步驟排解問題：

  1. 檢查主機連線：測試 Agent 主機的網際網路連線 (例如 curl www.google.com 或 ping 8.8.8.8)。如果測試失敗，問題出在主機的網際網路連線。

  2. 檢查容器連線能力：如果主機測試通過，請使用 docker exec -it container_ID bash 進入容器殼層，然後重新檢查連線能力。如果容器無法連線，請在主機上重新啟動 Docker 服務 (service docker restart)。

    1. 執行下列指令：

      docker exec -it bash

    2. 請再次檢查連線狀態，方法與先前相同。
    3. 如果沒有連線能力，請執行下列指令，從主體機器 (而非容器) 重新啟動 Docker 服務：

      service docker restart

    4. 執行下列指令，再次啟動容器：

      docker start

  3. 查看容器記錄是否有錯誤

    如果上一個步驟沒有幫助，且重新整理 Google SecOps 中的「Remote agent」(遠端代理程式) 頁面後，代理程式狀態仍為「waiting for agent」(等待代理程式)，請重新登入容器並提取記錄。

    1. 在 /var/log/SiemplifyAgent/ 目錄中尋找記錄。
    2. 在記錄檔中找出任何錯誤，找出根本原因。

DNS 網路問題

如果容器發生 DNS 解析失敗或網路連線問題，請將 --network host 新增至 docker run 指令。使用主機網路模式時，容器可以直接共用主機的網路堆疊和 DNS 設定。

Docker 映像檔無法載入 (IP4 轉送已停用)

嘗試載入 Google SecOps Docker 映像檔 (系統) 或代理程式時，如果 CLI 顯示錯誤，可能是因為 IP4 轉送已停用。請按照下列步驟啟用這項功能，並重新啟動代理：

  1. 在 /etc/sysctl.conf 檔案中新增下列程式碼：

    net.ipv4.ip_forward=1 請注意，您必須使用檔案編輯器 (例如 nano)，請使用： yum install nano -y

  2. 執行下列指令，重新啟動網路服務：

    systemctl restart network

  3. 執行下列指令，重新啟動 Docker 服務：

    sudo systemctl restart docker

  4. 執行下列指令，檢查容器是否正在執行：

    docker ps

  5. 如果容器未執行，請執行下列指令，列出所有容器 (包括已停止的容器)：

    docker ps -a

  6. 如果容器已列出但已停止，請執行下列指令來啟動容器：

    docker start container_id_or_name
  7. 如果重新啟動 Docker 和容器後，代理程式或系統仍未執行：

    1. 執行下列指令來停止容器：

      docker stop container_id_or_name

    2. 執行下列指令來刪除容器：

      docker rm container_id_or_name

    3. 執行下列指令來刪除映像檔：

      docker rmi image_name
    4. 再次載入圖片。

關閉或重新啟動代理程式後發生錯誤

執行下列指令，強制啟動安裝程式代理程式：
systemctl start supervisord

執行下列指令，強制啟動 Docker 代理程式：
docker start

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。