שליחת נתונים מ-Security Command Center אל IBM QRadar

בדף הזה מוסבר איך לשלוח אוטומטית ממצאי Security Command Center, נכסים, יומני ביקורת ומקורות אבטחה אל IBM QRadar. בנוסף, מוסבר איך לנהל את הנתונים המיוצאים. ‫QRadar היא פלטפורמה לניהול אבטחת מידע ואירועים (SIEM) שמקבלת נתוני אבטחה ממקור אחד או יותר, ומאפשרת לצוותי אבטחה לנהל תגובות לאירועים ולבצע ניתוחים בזמן אמת.

במדריך הזה, תדאגו שהשירותים הנדרשים של Security Command Center ו- Google Cloud יוגדרו בצורה נכונה, ותאפשרו ל-QRadar לגשת לממצאים, ליומני ביקורת ולנכסים בסביבת Security Command Center.

לפני שמתחילים

במדריך הזה אנחנו יוצאים מנקודת הנחה שאתם משתמשים ב-QRadar (גרסה 7.4.1 Fix Pack 2 ואילך). כדי להתחיל להשתמש ב-QRadar, אפשר לעיין במאמר בנושא הרשמה ל-QRadar.

הגדרת אימות והרשאה

לפני שמתחברים ל-QRadar, צריך ליצור חשבון שירות לניהול זהויות והרשאות גישה (IAM) בכל Google Cloud ארגון שרוצים להתחבר אליו, ולהעניק לחשבון את תפקידי ה-IAM ברמת הארגון וברמת הפרויקט שנדרשים לאפליקציית Google SCC ל-QRadar.

יצירה של חשבון שירות והקצאת תפקידי IAM

השלבים הבאים מתייחסים למסוף Google Cloud . שיטות אחרות מפורטות בקישורים בסוף הקטע הזה.

צריך לבצע את השלבים האלה לכל Google Cloud ארגון שרוצים לייבא ממנו נתונים של Security Command Center.

  1. באותו פרויקט שבו אתם יוצרים את נושאי Pub/Sub, משתמשים בדף Service Accounts במסוף Google Cloud כדי ליצור חשבון שירות. הוראות מפורטות זמינות במאמר יצירה וניהול של חשבונות שירות.

  2. מקצים לחשבון השירות את התפקיד הבא:

    • עורך Pub/Sub (roles/pubsub.editor)

  3. מעתיקים את השם של חשבון השירות שיצרתם.

  4. משתמשים בכלי לבחירת פרויקטים במסוף Google Cloud כדי לעבור לרמת הארגון.

  5. פותחים את הדף IAM של הארגון:

    כניסה לדף IAM

  6. בדף IAM, לוחצים על Grant access (מתן גישה). תיפתח החלונית למתן גישה.

  7. בחלונית Grant access (הענקת גישה), מבצעים את הפעולות הבאות:

    1. בקטע Add principals, בשדה New principals, מדביקים את השם של חשבון השירות.

    2. בקטע Assign roles, משתמשים בשדה Role כדי להעניק לחשבון השירות את התפקידים הבאים ב-IAM:

    3. עריכה של אדמין במרכז האבטחה (roles/securitycenter.adminEditor)
    4. Security Center Notification Configurations Editor (roles/securitycenter.notificationConfigEditor)
    5. צפייה בארגון (roles/resourcemanager.organizationViewer)
    6. צפייה במאגר משאבי הענן (roles/cloudasset.viewer)

    7. לוחצים על Save. חשבון השירות מופיע בכרטיסייה הרשאות בדף IAM בקטע תצוגה לפי חשבונות משתמשים.

      באמצעות ירושה, חשבון השירות הופך גם לחשבון משתמש בכל פרויקטי הצאצא של הארגון. התפקידים שרלוונטיים ברמת הפרויקט מופיעים כ'תפקידים שעברו בירושה'.

מידע נוסף על יצירת חשבונות שירות והענקת תפקידים זמין במאמרים הבאים:

מספקים את פרטי הכניסה ל-QRadar

הדרך שבה מספקים את פרטי הכניסה של IAM ל-QRadar משתנה בהתאם למקום שבו מתבצע האירוח של QRadar.

הגדרת התראות

צריך לבצע את השלבים האלה לכל Google Cloud ארגון שרוצים לייבא ממנו נתונים של Security Command Center.

  1. כדי להגדיר התראות על מציאת המכשיר:
    1. מפעילים את Security Command Center API.
    2. יוצרים מסנן כדי לייצא את הממצאים והנכסים הרצויים.
    3. יוצרים שלושה נושאים ב-Pub/Sub: אחד לכל אחד מהממצאים, מיומני הביקורת ומנכסי המידע. ב-NotificationConfig צריך להשתמש בנושא Pub/Sub שיוצרים בשביל הממצאים.

  2. יוצרים sink ליומני הביקורת, כמו שמתואר במאמר איסוף וניתוב יומנים ברמת הארגון ליעדים נתמכים. יעד הייצוא צריך להיות נושא Pub/Sub שיצרתם עבור יומני הביקורת. לדוגמה:

    gcloud logging sinks create SINK_NAME SINK_DESTINATION \
  --include-children \
  --organization=ORGANIZATION_ID \
  --log-filter=FILTER

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫SINK_NAME בשם של sink ביומן הביקורת.

    • SINK_DESTINATION עם pubsub.googleapis.com/projects/PROJECT_ID/topics/TOPIC_ID

    • ORGANIZATION_ID במזהה הארגון.

    • ‫FILTER עם logName:activity,‏ logName:data_access,‏ logName:system_event או logName:policy.

  3. מקצים לחשבון השירות של יעד הייצוא את התפקיד 'פרסום הודעות ב-Pub/Sub' (roles/pubsub.publisher).

  4. מפעילים את Cloud Asset API בפרויקט.

  5. יוצרים פידים לנכסים. צריך ליצור שני פידים באותו נושא Pub/Sub – אחד למשאבים ואחד למדיניות ניהול זהויות והרשאות גישה (IAM).

    • נושא ה-Pub/Sub של הנכסים צריך להיות שונה מזה שמשמש לממצאים.
    • כדי לסנן את הפיד של המשאבים, משתמשים במסנן הבא: content-type=resource.
    • כדי להשתמש בפיד של מדיניות IAM, צריך להשתמש במסנן הבא: content-type=iam-policy --asset-types="cloudresourcemanager.googleapis.com/Project".

כדי להגדיר את QRadar, תצטרכו את מזהי הארגון ואת שמות המינויים ב-Pub/Sub.

התקנת אפליקציית Google SCC ל-QRadar – QRadar גרסה 7.4.1FP2 ואילך

בקטע הזה מתקינים את אפליקציית Google SCC ל-QRadar – QRadar v7.4.1FP2+‎ (v3.0.0). האפליקציה, שמתוחזקת על ידי Security Command Center, מבצעת אוטומציה של תהליך התזמון של קריאות ל-Security Command Center API, ומאחזרת באופן קבוע נתונים של Security Command Center לשימוש ב-QRadar.

כדי להתקין את האפליקציה, צריך גישה למחשב של מסוף QRadar דרך ממשק אינטרנט.

כדי להשלים את ההתקנה:

  1. מורידים את אפליקציית Google SCC ל-QRadar מ-IBM App Exchange.
  2. מתחברים ל-QRadar Console בכתובת https://QRadar_Console_IP.
  3. בתפריט המסוף, לוחצים על אדמין ואז בוחרים באפשרות ניהול תוספים.
  4. כדי לבחור את קובץ ה-ZIP להורדה, לוחצים על הוספה. פועלים לפי ההוראות בזמן שההתקנה מתבצעת.
  5. בוחרים באפשרות הפעלת מופע ברירת מחדל לכל אפליקציה.
  6. לוחצים על התקנה. אחרי שההתקנה מסתיימת בהצלחה, מוצגת רשימה של רכיבי האפליקציה.
  7. לוחצים על הכרטיסייה ניהול ואז על פריסת שינויים.
  8. מנקים את המטמון של הדפדפן ומרעננים את חלון הדפדפן.
  9. עוברים אל ניהול תוספים. אפליקציית Google SCC ל-QRadar אמורה להופיע עם הסטטוס Installed (מותקן).

הגדרת אפליקציית Google SCC

בקטע הזה מגדירים את אפליקציית Google SCC. כדי להשלים את ההגדרה, מבצעים את הפעולות הבאות:

  1. עוברים לכרטיסייה Admin (אדמין) ב-QRadar.
  2. לוחצים על הגדרות אפליקציית Google SCC.
  3. לוחצים על Add Google SCC Organization (הוספת ארגון Google SCC).

  4. מזינים את המשתנים הבאים לפי הצורך:

    • קובץ JSON של חשבון שירות: קובץ ה-JSON שכולל את המפתח של חשבון השירות

      אם אתם מארחים את הפריסה של QRadar ב- Google Cloud, השדה הזה לא זמין. חשוב לוודא שחשבון השירות שמקושר למכונה הווירטואלית כולל את הרשאות ה-IAM לכל Google Cloud ארגון. מידע נוסף זמין במאמר בנושא העברת פרטי הכניסה אל QRadar.

    • קובץ תצורה של פרטי כניסה: קובץ התצורה של פרטי הכניסה שהורדתם כשביצעתם את ההגדרה של איחוד שירותי אימות הזהות של עומסי עבודה

    • מזהה הארגון: המזהה של הארגון

    • שם המינוי לממצאים: שם המינוי ב-Pub/Sub להתראות על הממצאים

    • שם המינוי לנכסים: שם המינוי ל-Pub/Sub של פיד הנכסים

    • Enable Audit Logs Collection (הפעלת איסוף יומני ביקורת): בוחרים באפשרות הזו כדי לשלוח יומני ביקורת למופע QRadar.

      • השם של המינוי ליומני הביקורת: השם של מינוי Pub/Sub ל-sink של יומני הביקורת

    • מרווח: מספר השניות בין קריאות Pub/Sub במהלך איסוף נתונים בזמן אמת

    • טוקן הרשאה של QRadar: הטוקן של מופע QRadar. כדי לאחזר אסימון:

      1. עוברים לכרטיסייה Admin (אדמין) ב-QRadar.
      2. בקטע ניהול משתמשים, לוחצים על שירות מורשה.
      3. מעתיקים את אסימון ההרשאה עם אדמין בתור תפקיד משתמש ואדמין בתור פרופיל אבטחה. אם אין לכם טוקן, אתם יכולים ליצור אותו על ידי לחיצה על הוספת שירות מורשה.
      4. לוחצים על פריסת שינויים ומרעננים את חלון הדפדפן.

  5. כדי להזין פרטים אופציונליים של הגדרת שרת proxy, לוחצים על המתג הפעלה/השבתה של שרת proxy ואז מזינים את הגדרות ה-proxy:

    • כתובת IP או שם מארח: כתובת ה-IP או שם המארח של שרת הפרוקסי (לא כולל את הקידומת HTTP/HTTPS)
    • יציאה: היציאה של שרת ה-proxy
    • שם משתמש: שם המשתמש שמשמש לשרת ה-proxy לאימות
    • סיסמה: הסיסמה שמשמשת לשרת ה-proxy לאימות

  6. לוחצים על Save.

  7. חוזרים על השלבים האלה לכל Google Cloud ארגון שרוצים לשלב.

הגדרת האפליקציה נשמרת והארגונים שלכם נוספים לדף ההגדרות של האפליקציה. בקטעים הבאים מוסבר איך לצפות בנתונים של Security Command Center בשירות ואיך לנהל אותם.

שדרוג אפליקציית Google SCC

בקטע הזה מוסבר איך לשדרג אפליקציית Google SCC קיימת ל-QRadar לגרסה העדכנית.

כדי להשלים את השדרוג:

  1. מורידים את הגרסה האחרונה של אפליקציית Google SCC מ-IBM App Exchange.
  2. מתחברים ל-QRadar Console בכתובת https://QRadar_Console_IP.
  3. בתפריט המסוף, לוחצים על אדמין ואז בוחרים באפשרות ניהול תוספים.
  4. כדי לבחור את קובץ ה-ZIP להורדה, לוחצים על הוספה. פועלים לפי ההנחיות בזמן שהשדרוג מתבצע.
  5. בוחרים באפשרות החלפת פריטים קיימים והפעלת מופע ברירת מחדל לכל אפליקציה.
  6. לוחצים על התקנה. אחרי שתהליך השדרוג יסתיים בהצלחה, תוצג רשימה של רכיבי האפליקציה.
  7. לוחצים על הכרטיסייה ניהול ואז על פריסת שינויים.
  8. מנקים את המטמון של הדפדפן ומרעננים את חלון הדפדפן.
  9. עוברים אל ניהול תוספים. אפליקציית Google SCC ל-QRadar אמורה להופיע עם הסטטוס Installed (מותקן).

  10. להסיר יומני אפליקציות ממשתמשים שניגשים לאפליקציה מ-QRadar באמצעות SSH:

    1. מורידים את הגרסה האחרונה של אפליקציית Reference Data Management מ-IBM App Exchange.

    2. מתחברים ל-QRadar Console בכתובת https://QRadar_Console_IP.

    3. בתפריט המסוף, לוחצים על Admin (אדמין) ואז על Extension Management (ניהול תוספים).

    4. כדי לבחור את קובץ ה-ZIP להורדה, לוחצים על הוספה. פועלים לפי ההנחיות כדי להתקין את האפליקציה.

    5. במסוף, עוברים אל לוח הבקרה Reference Data Management.

    6. לוחצים על מפה להתמצאות מהירה בחשבון.

    7. בוחרים באפשרות asset_owners ולוחצים על ניקוי נתונים.

צפייה בנתונים המיוצאים ב-QRadar

בקטע הזה מוסבר על פונקציות רלוונטיות שזמינות ב-QRadar, כולל חיפוש ממצאים, יומני ביקורת ונכסים, צפייה במדיניות IAM וצפייה בלוחות בקרה בהתאמה אישית.

חיפוש נתונים

כדי לחפש נתונים של Security Command Center ב-QRadar, משתמשים בחלונית Log Activity (פעילות ביומן). אתם יכולים לראות ממצאים, נכסים, יומני ביקורת ומקורות אבטחה שהועברו למערכת, ולהחיל מסננים בסגנון SQL כדי לדייק את הנתונים.

צפייה בנתוני מדיניות IAM

כדי להציג נתונים של מדיניות IAM לגבי הנכסים:

  1. מורידים ומתקינים את האפליקציה Reference Data Management מפורטל IBM App Exchange.
  2. לוחצים על מרכז הבקרה Reference Data Management ב-QRadar.
  3. בחלונית הניווט, לוחצים על מפת הפניה.
  4. בוחרים באפשרות asset_owners. מרכז הבקרה מאוכלס בנתוני מדיניות IAM.

מרכזי בקרה מותאמים אישית

אתם יכולים להשתמש בלוחות בקרה בהתאמה אישית ב-QRadar כדי להציג ולנתח את הממצאים, הנכסים ומקורות האבטחה.

סקירה כללית

במרכז הבקרה סקירה כללית מוצג המספר הכולל של הממצאים, האיומים והפגיעויות בארגונים שלכם, Google Cloud . הממצאים נאספים משירותים מובנים של Security Command Center, כמו Security Health Analytics,‏ Web Security Scanner,‏ Event Threat Detection ו-זיהוי איומים בקונטיינר, וגם משירותים משולבים שאתם מפעילים.

אתם יכולים לסנן את הנתונים כדי לעדכן את ההדמיות, לציין Google Cloud ארגון ולאחזר נתונים חדשים לפי דרישה.

נכסים

בכרטיסייה נכסים מוצגת טבלה של הנכסים שלכם Google Cloud . נתוני הטבלה כוללים את שם הנכס, סוג הנכס, בעלי המשאבים, שעת העדכון האחרון וקישורים לדף נכסים של Security Command Center במסוף Google Cloud .

אתם יכולים לחפש ולסנן נתוני נכסים לפי ארגון, טווח זמן וסוג נכס, ולעיין בפרטים של ממצאים לגבי נכסים ספציפיים.

מקורות

בכרטיסייה מקורות מוצגת טבלה של מקורות האבטחה, כולל שם המקור, השם המוצג של המקור והתיאור. כדי לראות את הממצאים של מקור מסוים, לוחצים על השם שלו.

ממצאים

בכרטיסייה Findings מוצגת טבלה עם הממצאים של הארגון. אפשר לחפש בטבלה ולסנן את הרשימה לפי טווח זמן, קטגוריה, חומרה, מקור אבטחה, נכס ושם פרויקט.

העמודות בטבלה כוללות את שם הממצא, הקטגוריה, שם הנכס, שם מקור האבטחה, סימני אבטחה, רמת החומרה, שם הפרויקט, זמן האירוע, סיווג הממצא וסטטוס העדכון. אם לוחצים על שם הממצא, מועברים לדף ממצאים ב-Security Command Center במסוףGoogle Cloud , ומוצגים פרטים על הממצא שנבחר.

בעמודה סטטוס העדכון, אפשר לעדכן את הסטטוס של ממצא. כדי לציין שאתם בודקים באופן פעיל ממצא מסוים, לוחצים על סימון כפעיל. אם לא בודקים באופן פעיל ממצא מסוים, לוחצים על סימון כלא פעיל.

יומני ביקורת

בלוח הבקרה יומני ביקורת מוצגים סדרה של תרשימים וטבלאות עם מידע מיומני הביקורת. יומני הביקורת שכלולים בלוח הבקרה הם יומני הביקורת של פעילות האדמין, גישה לנתונים, אירועים במערכת ודחיית מדיניות. הטבלה כוללת את השעה, שם היומן, רמת החומרה, שם השירות, שם המשאב וסוג המשאב.

בדיקת יומני האפליקציות

  1. מתחברים ל-QRadar באמצעות SSH.

  2. רשימה של כל האפליקציות המותקנות והערכים שלהן App-ID:

    /opt/qradar/support/recon ps

    הפלט אמור להיראות כך: שימו לב לApp-ID של האפליקציה Google SCC.

    App-ID  Name                                    Managed Host ID Workload ID             Service Name    AB       Container Name          CDEGH          Port          IJKL
1101    QRadar Log Source Management            53              apps                    qapp-1101       ++           qapp-1101           +++++          5000          ++++
1104    QRadar Assistant                        53              apps                    qapp-1104       ++           qapp-1104           +++++          5000          ++++
1105    QRadar Use Case Manager                 53              apps                    qapp-1105       ++           qapp-1105           +++++          5000          ++++
1163    IBM QRadar Pre-Validation App Service   53              apps                    qapp-1163       ++           qapp-1163           +++++          5000          ++++
1164    IBM QRadar Pre-Validation App UI        53              apps                    qapp-1164       ++           qapp-1164           +++++          5000          ++++
1170    Google SCC                              53              apps                    qapp-1170       ++           qapp-1170           +++++          5000          ++++

  3. מתחברים למאגר האפליקציות של Google SCC:

    /opt/qradar/support/recon connect APP_ID

    מחליפים את APP_ID ב-App-ID של אפליקציית Google SCC.

  4. עוברים לספריית היומן:

    cd /opt/app-root/store/log

  5. כדי להציג רשימה של כל הקבצים בספרייה:

    ls

  6. כדי לראות את התוכן של קובץ:

    cat FILENAME

    מחליפים את FILENAME בשם הקובץ.

הסרת אפליקציית Google SCC

כדי להסיר את אפליקציית Google SCC:

  1. עוברים לכרטיסייה Admin (אדמין).
  2. בוחרים באפשרות ניהול תוספים.
  3. בוחרים באפשרות Google SCC App For QRadar - QRadar v7.4.1FP2+‎.
  4. לוחצים על הסרה.

אם מסירים את ההתקנה של האפליקציה, מאפייני אירועים מותאמים אישית, מפות עזר, לוחות בקרה ומקורות יומנים שסופקו על ידי אפליקציית Google SCC מוסרים.

בעיות מוכרות

בקטע הזה מפורטות בעיות מוכרות באפליקציית Google SCC ובמרכזי הבקרה של QRadar.

v1.0.0

  • במרכז הבקרה סקירה כללית, בחלונית ממצאים לפי חומרה לאורך זמן מוצגת שגיאה טכנית לגבי נתונים של יותר מ-250,000 ממצאים, ותהליך ה-flask שאחראי לאכלוס מרכזי הבקרה מופעל מחדש בקצה העורפי. כדי להימנע מהבעיה הזו, בוחרים טווח זמן קצר יותר ללוח הבקרה.

    הבעיה הזו נפתרה בגרסה 2.0.0.

  • יכול להיות שנכסים שנמחקו יופיעו בלוח הבקרה נכסים בגלל התנהגות לא צפויה של פונקציית GROUP BY AQL.

v2.0.0

  • יכול להיות שנכסים שנמחקו יופיעו בלוח הבקרה נכסים בגלל התנהגות לא צפויה של פונקציית GROUP BY AQL.
  • יכול להיות שבלוח הבקרה Findings לא יוצגו הנתונים העדכניים ביותר של הממצאים אחרי שתעדכנו את אפליקציית Google SCC, בגלל התנהגות לא צפויה של פונקציית GROUP BY AQL.

v3.0.0

  • יכול להיות שהאירועים האחרונים לא יוצגו בלוח הבקרה אם יש כמה אירועים עם אותו מפתח ייחודי, בגלל התנהגות לא צפויה של הפונקציה GROUP BY AQL.
  • לגבי נתונים שכבר הועברו באמצעות גרסה 2, המסנן מזהה הארגון לא רלוונטי. כדי לראות את הנתונים, בוחרים בערך הכול במסנן מזהה הארגון.

פתרון בעיות

בקטע הזה מפורטים פתרונות לכמה בעיות נפוצות.

אירועים ב-Google SCC מוצגים כהודעות ב-Google SCC

הבעיה: אירועים של Security Command Center יוצגו כהודעות של Security Command Center ולא יזוהו כקטגוריה הנכונה ב-QRadar. ההודעות מוצגות בכרטיסייה Log Activity ב-QRadar כשמשתמש מחפש אירוע ממקור יומן Google Cloud .

הבעיה הזו מתרחשת כששדה חובה לא מופיע באירוע יומן גולמי, או אם גודל מטען הנתונים של האירוע גדול מ-4,096 בייט (ערך ברירת המחדל), מה שעלול לגרום לחיתוך של אירועים.

פתרון: אם המטען הייעודי (payload) נחתך, מבצעים את השלבים הבאים כדי להגדיל את הגודל המקסימלי של המטען הייעודי:

  1. עוברים לכרטיסייה אדמין ובוחרים באפשרות הגדרות מערכת.
  2. בקטע Switch to (מעבר אל), לוחצים על Advanced (מתקדם).
  3. ברשימת ההגדרות, מבצעים את הפעולות הבאות:
    1. בוחרים באפשרות Max TCP Syslog Payload Length (אורך מטען ייעודי (Payload) מקסימלי של TCP Syslog) ומגדילים את הערך שלה. הערך המומלץ הוא 32,000.
    2. בוחרים באפשרות Max UDP Syslog Payload Length (אורך מטען ה-Syslog המקסימלי של UDP) ומגדילים את הערך שלה. הערך המומלץ הוא 32,000.
  4. לוחצים על Deploy changes (פריסת שינויים) ומשתמשים באפשרות Full Deploy (פריסה מלאה).

אירועים מ-Google SCC מופיעים כאירועים לא ידועים

הבעיה: אירועים ב-Security Command Center מופיעים כלא ידועים. הבעיה הזו מתרחשת כשמזהה האירוע והקטגוריה ממטען הייעודי (payload) לא ממופים ב-QRadar.

פתרון: כדי לפתור את הבעיה, מבצעים את השלבים הבאים:

  1. עוברים אל Log Activity (פעילות ביומן) ולוחצים על Add Filter (הוספת מסנן).
  2. בוחרים באפשרות פרמטר ואז באפשרות סוג מקור יומן (מאונדקס).
  3. בוחרים באפשרות אופרטור ואז באפשרות שווה.
  4. בוחרים באפשרות Log Source Type (סוג מקור היומן) ואז בוחרים באפשרות Google SCC.
  5. בתפריט הנפתח של המסנן צפיות, בוחרים באפשרות 7 הימים האחרונים.
  6. אם האירועים מוצגים כלא ידוע, צריך לבצע את השלבים הבאים:
    1. לוחצים לחיצה ימנית על האירוע ובוחרים באפשרות View in DSM editor (הצגה בעורך DSM).
    2. בקטע תצוגה מקדימה של פעילות ביומן, בודקים את הערכים של מזהה האירוע ושל קטגוריית האירוע.
    3. אם הערכים לא ידועים, צריך לפנות אל התמיכה של Cloud.

הגדרת האפליקציה נכשלת עם הודעות שגיאה

אם מופיעה שגיאה בהגדרת האפליקציה, אפשר לפעול לפי השלבים הבאים כדי לפתור את הבעיה.

שגיאה תיאור פתרון
"צריך להזין קובץ JSON תקין של חשבון שירות". השגיאה הזו מתרחשת אם מספקים קובץ JSON בפורמט תקין, אבל האימות נכשל כשמנסים לשמור את ההגדרות. מזינים קובץ JSON תקין עם פרטי הכניסה הנכונים לחשבון.
‫"Service Account JSON should be JSON string." השגיאה הזו מתרחשת אם מספקים קובץ JSON בפורמט לא תקין או אם הקובץ הוא בפורמט שאינו JSON. צריך להזין קובץ JSON תקין.
"צריך להזין מזהה ארגון תקין". השגיאה הזו מתרחשת כשמזינים מזהה ארגון שגוי או לא מלא. צריך לאמת את מזהה הארגון ולהזין אותו מחדש.
"צריך להזין מזהה פרויקט או מזהה מינוי לממצאים תקינים". השגיאה הזו מתרחשת כשמזינים מזהה פרויקט או מזהה מינוי שגוי או לא תקין. צריך לאמת את מזהה הפרויקט ואת מזהה הארגון ולהזין אותם מחדש.
"צריך להזין מזהה מינוי תקין לנכסים דיגיטליים". השגיאה הזו מתרחשת כשמזינים מזהה שגוי או לא תקין של מינוי לנכס. צריך לאמת את מזהה המינוי לנכס ולהזין אותו מחדש.
"Error while validating authorization token" (שגיאה באימות טוקן ההרשאה). השגיאה הזו מתרחשת כשמספקים טוקן הרשאה שגוי או לא תקף של QRadar. צריך לאמת את אסימון ההרשאה של QRadar ולהזין אותו מחדש. התפקיד והפרופיל צריכים להיות אדמין. גם תוקף הטוקן לא יכול להיות פג.

שגיאה בהפעלת חיבור שקע עם QRadar

הבעיה: הודעת השגיאה 'Error while initiating socket connection with IBM QRadar' מופיעה בקובצי יומן של איסוף נתונים. יכול להיות שהבעיה הזו תופיע ב-QRadar v2 app framework (גרסה < v7.4.2 P2).

פתרון: כדי לפתור את הבעיה, מבצעים את השלבים הבאים:

  1. כאן אפשר לעיין בהערת התמיכה בנוגע לשינויים בפריסת QRadar.
  2. משדרגים את QRadar.

בעיות בממשק

בעיה: בחלונית של מרכז הבקרה או בדף ההגדרות מוצגות שגיאות או התנהגות לא צפויה.

פתרון: כדי לפתור את הבעיה, מבצעים את השלבים הבאים:

  1. מנקים את מטמון הדפדפן וטוענים מחדש את דף האינטרנט.
  2. מצמצמים את טווח הזמן של המסנן. יכול להיות שתוקף השאילתות ב-QRadar יפוג אם מספר התשובות גדול מדי.
  3. אם הבעיה לא נפתרה, פנו אל התמיכה של Cloud.

הטעינה של החלוניות במרכז הבקרה נכשלת ותהליך ה-Flask מופסק

הבעיה: פג הזמן הקצוב לתהליך של Flask וחלק מחלוניות לוח הבקרה לא נטענות.

פתרון: כדי לפתור את הבעיה, מבצעים את השלבים הבאים:

  1. מנקים את מטמון הדפדפן וטוענים מחדש את דף האינטרנט.
  2. מצמצמים את טווח הזמן של המסנן. יכול להיות שתוקף השאילתות ב-QRadar יפוג אם מספר התשובות גדול מדי.
  3. אם הבעיה לא נפתרה, צריך לפנות אל התמיכה של Cloud.

בעיות אחרות בביצועים

אם הבעיה לא נפתרה אחרי שפעלתם לפי ההוראות במדריך הזה, אתם יכולים:

  1. עוברים לכרטיסייה Admin (אדמין) ואז לוחצים על System and License Management (ניהול מערכת ורישיונות).
  2. בוחרים את המארח שבו מותקנת Google SCC App For QRadar - QRadar v7.4.1FP2+.
  3. לוחצים על פעולה ובוחרים באפשרות איסוף קובצי יומן.
  4. בתיבת הדו-שיח, לוחצים על אפשרויות מתקדמות.
  5. מסמנים את התיבות לצד Include Debug Logs (הכללת יומני ניפוי באגים), Application Extension Logs (יומני הרחבות של אפליקציות) ו-Setup Logs (Current Version) (יומני הגדרות (גרסה נוכחית)).
  6. בוחרים שני ימים כקלט נתונים ולוחצים על איסוף קובצי יומן.

  7. לוחצים על כאן אפשר להוריד קבצים.

    קבצי היומן יורדו כקובץ ZIP. פונים אל התמיכה של Cloud ומשתפים את קובצי היומן.

המאמרים הבאים