Security Command Center-Daten an IBM QRadar senden

Auf dieser Seite wird erläutert, wie Ergebnisse, Assets, Audit-Logs und Sicherheitsquellen von Security Command Center automatisch an IBM QRadar gesendet werden. Außerdem wird beschrieben, wie Sie die exportierten Daten verwalten. QRadar ist eine Plattform des Sicherheits- und Ereignismanagements (SIEM), die Sicherheitsdaten aus einer oder mehreren Quellen aufnimmt und es Sicherheitsteams ermöglicht, Antworten auf Vorfälle zu verwalten und Echtzeitanalysen durchzuführen.

In diesem Leitfaden sorgen Sie dafür, dass die erforderlichen Security Command Center- und Google Cloud-Dienste ordnungsgemäß konfiguriert sind. Aktivieren Sie QRadar, um auf Ergebnisse, Audit-Logs und Assets in Ihrer Security Command Center-Umgebung zuzugreifen.

Hinweise

In dieser Anleitung wird davon ausgegangen, dass Sie QRadar verwenden (Version 7.4.1 Fix Pack 2 oder höher). Informationen zu den ersten Schritten mit QRadar finden Sie unter Für QRadar registrieren.

Authentifizierung und Autorisierung konfigurieren

Bevor Sie eine Verbindung zu QRadar herstellen, müssen Sie in jeder Google Cloud-Organisation, mit der Sie eine Verbindung herstellen möchten, ein IAM-Dienstkonto (Identity and Access Management) erstellen und dem Konto die IAM-Rollen auf Organisations- und Projektebene zuweisen, die die Google SCC App für QRadar benötigt.

Dienstkonto erstellen und IAM-Rollen gewähren

In den folgenden Schritten wird die Google Cloud Console verwendet. Weitere Methoden finden Sie in den Links am Ende dieses Abschnitts.

Führen Sie diese Schritte für jede Google Cloud-Organisation aus, aus der Sie Security Command Center-Daten importieren möchten.

  1. Erstellen Sie in demselben Projekt, in dem Sie Ihre Pub/Sub-Themen erstellen, in der Google Cloud Console auf der Seite Dienstkonten ein Dienstkonto. Eine Anleitung dazu finden Sie unter Dienstkonten erstellen und verwalten.

  2. Weisen Sie dem Dienstkonto die folgende Rolle zu:

    • Pub/Sub-Bearbeiter (roles/pubsub.editor)

  3. Kopieren Sie den Namen des soeben erstellten Dienstkontos.

  4. Verwenden Sie die Projektauswahl in der Google Cloud Console, um zur Organisationsebene zu wechseln.

  5. Öffnen Sie die Seite IAM für die Organisation:

    Seite „IAM“

  6. Klicken Sie auf der IAM-Seite auf Zugriff erlauben. Das Steuerfeld „Zugriff gewähren“ wird geöffnet.

  7. Führen Sie im Bereich Zugriff gewähren die folgenden Schritte aus:

    1. Fügen Sie im Bereich Hauptkonten hinzufügen im Feld Neue Hauptkonten den Namen des Dienstkontos ein.

    2. Weisen Sie im Bereich Rollen zuweisen dem Dienstkonto im Feld Rolle die folgenden IAM-Rollen zu:

    3. Sicherheitscenter-Administratorbearbeiter (roles/securitycenter.adminEditor)
    4. Bearbeiter von Konfigurationen für Benachrichtigungen des Sicherheitscenters (roles/securitycenter.notificationConfigEditor)
    5. Organisationsbetrachter (roles/resourcemanager.organizationViewer)
    6. Cloud-Asset-Betrachter (roles/cloudasset.viewer)

    7. Klicken Sie auf Speichern. Das Dienstkonto wird auf der Seite IAM auf dem Tab Berechtigungen unter Nach Hauptkonten filtern angezeigt.

      Durch Vererbung wird das Dienstkonto auch zu einem Hauptkonto in allen untergeordneten Projekten der Organisation. Die auf Projektebene anwendbaren Rollen werden als übernommene Rollen aufgeführt.

Weitere Informationen zum Erstellen von Dienstkonten und zum Zuweisen von Rollen finden Sie unter den folgenden Links:

Anmeldedaten für QRadar angeben

Je nachdem, wo Sie QRadar hosten, unterscheiden sich die Möglichkeiten, wie Sie die IAM-Anmeldedaten für QRadar angeben.

Benachrichtigungen konfigurieren

Führen Sie diese Schritte für jede Google Cloud-Organisation aus, aus der Sie Security Command Center-Daten importieren möchten.

  1. So richten Sie Ergebnisbenachrichtigungen ein:
    1. Aktivieren Sie die Security Command Center API.
    2. Erstellen Sie einen Filter, um die gewünschten Ergebnisse und Assets zu exportieren.
    3. Erstellen Sie drei Pub/Sub-Themen: eines für Ergebnisse, eines für Audit-Logs und eines für Assets. NotificationConfig muss das Pub/Sub-Thema verwenden, das Sie für Ergebnisse erstellen.

  2. Erstellen Sie eine Senke für die Prüfprotokolle, wie unter Logs auf Organisationsebene sortieren und an unterstützte Ziele weiterleiten beschrieben. Die Senke muss das Pub/Sub-Thema verwenden, das Sie für Audit-Logs erstellt haben. Beispiel:

    gcloud logging sinks create SINK_NAME SINK_DESTINATION \
  --include-children \
  --organization=ORGANIZATION_ID \
  --log-filter=FILTER

    Ersetzen Sie Folgendes:

    • SINK_NAME durch den Namen des Audit-Log-Sinks.

    • SINK_DESTINATION mit pubsub.googleapis.com/projects/PROJECT_ID/topics/TOPIC_ID

    • ORGANIZATION_ID durch die ID Ihrer Organisation.

    • FILTER mit logName:activity, logName:data_access, logName:system_event oder logName:policy.

  3. Weisen Sie dem Dienstkonto der Sink-Entität die Rolle „Pub/Sub-Publisher“ (roles/pubsub.publisher) zu.

  4. Aktivieren Sie die Cloud Asset API für Ihr Projekt.

  5. Erstellen Sie Feeds für Ihre Assets. Sie müssen zwei Feeds im selben Pub/Sub-Thema erstellen, einen für Ihre Ressourcen und einen für Ihre IAM-Richtlinien (Identity and Access Management).

    • Das Pub/Sub-Thema für Assets muss sich von dem unterscheiden, das für Ergebnisse verwendet wird.
    • Verwenden Sie für den Feed für Ihre Ressourcen den folgenden Filter: content-type=resource.
    • Für den IAM-Richtlinienfeed müssen Sie den folgenden Filter verwenden: content-type=iam-policy --asset-types="cloudresourcemanager.googleapis.com/Project".

Sie benötigen Ihre Organisations-IDs und die Namen Ihrer Pub/Sub-Abos, um QRadar zu konfigurieren.

Google SCC-Anwendung für QRadar installieren – QRadar v7.4.1FP2 oder höher

In diesem Abschnitt installieren Sie die Google SCC-Anwendung für QRadar – QRadar v7.4.1FP2 + (v3.0.0). Die Anwendung, die von Security Command Center verwaltet wird, automatisiert die Planung von Security Command Center API-Aufrufen und ruft regelmäßig Security Command Center-Daten zur Verwendung in QRadar ab.

Die Installation der Anwendung erfordert Zugriff auf die Maschine der QRadar-Konsole über eine Weboberfläche.

So schließen Sie die Installation ab:

  1. Laden Sie die Google SCC-Anwendung für QRadar von der IBM App Exchange herunter.
  2. Melden Sie sich unter https://QRadar_Console_IP in Ihrer QRadar-Konsole an.
  3. Klicken Sie im Konsolenmenü auf Administrator und wählen Sie Erweiterungsverwaltung aus.
  4. Klicken Sie auf Add (Hinzufügen), um die ZIP-Datei für den Download auszuwählen. Folgen Sie den Aufforderungen zur Vorbereitung der Installation.
  5. Wählen Sie Standardinstanz für jede Anwendung starten aus.
  6. Klicken Sie auf Installieren. Nach erfolgreicher Installation wird eine Liste der Anwendungskomponenten angezeigt.
  7. Klicken Sie auf den Tab Administrator und dann auf Änderungen bereitstellen.
  8. Leeren Sie den Cache des Browsers und aktualisieren Sie das Browserfenster.
  9. Rufen Sie die Erweiterungsverwaltung auf. Nun sollte Google SCC App For QRadar mit dem Status Installed angezeigt werden.

Google SCC-Anwendung konfigurieren

In diesem Abschnitt konfigurieren Sie die Google SCC-Anwendung. So schließen Sie die Konfiguration ab:

  1. Gehen Sie in QRadar zum Tab Admin.
  2. Klicken Sie auf Google SCC App Settings.
  3. Klicken Sie auf Google SCC-Organisation hinzufügen.

  4. Geben Sie die folgenden Variablen ein:

    • JSON-Dienstkonto: Die JSON-Datei, die den Dienstkontoschlüssel enthält

      Wenn Sie die QRadar-Bereitstellung in Google Cloud hosten, ist dieses Feld nicht verfügbar. Achten Sie darauf, dem Dienstkonto, das mit der VM verknüpft ist, die IAM-Berechtigungen für jede Google Cloud-Organisation zuzuweisen. Weitere Informationen finden Sie unter Anmeldedaten für QRadar angeben.

    • Anmeldedatenkonfiguration: Die Konfigurationsdatei für Anmeldedaten, die Sie beim Einrichten der Workload Identity-Föderation heruntergeladen haben

    • Organisations-ID: die ID Ihrer Organisation

    • Name des Abos für Ergebnisse: Name des Pub/Sub-Abos für Ergebnisbenachrichtigungen

    • Name des Assets-Abos: Name des Pub/Sub-Abos für Ihren Asset-Feed

    • Audit-Log-Sammlung aktivieren: Wählen Sie diese Option aus, um Audit-Logs an Ihre QRadar-Instanz zu senden.

      • Name des Abos für Audit-Logs: Name des Pub/Sub-Abos für die Audit-Log-Senke

    • Intervall: die Anzahl der Sekunden zwischen Pub/Sub-Aufrufen während der Echtzeit-Datenerfassung

    • QRadar Authorization Token: Das Token für die QRadar-Instanz. So rufen Sie ein Token ab:

      1. Gehen Sie in QRadar zum Tab Admin.
      2. Klicken Sie unter Nutzerverwaltung auf Autorisierter Dienst.
      3. Kopieren Sie Ihr Autorisierungstoken mit Admin als Nutzerrolle und Admin als Sicherheitsprofil. Wenn Sie kein Token haben, erstellen Sie ein Token. Klicken Sie dazu auf Autorisierten Dienst hinzufügen.
      4. Klicken Sie auf Änderungen bereitstellen und aktualisieren Sie dann das Browserfenster.

  5. Klicken Sie auf die Schaltfläche Proxy aktivieren/deaktivieren und geben Sie Ihre Proxyeinstellungen ein, um optionale Proxy-Konfigurationsdetails einzugeben:

    • IP/Hostname: die IP-Adresse oder der Hostname Ihres Proxyservers (ohne HTTP-/HTTPS-Präfix)
    • Port: der Port Ihres Proxyservers
    • Nutzername: Der Nutzername für den Authentifizierungsproxy
    • Password (Passwort): das Passwort, das für den Authentifizierungsproxy verwendet wird

  6. Klicken Sie auf Speichern.

  7. Wiederholen Sie diese Schritte für jede Google Cloud-Organisation, die Sie integrieren möchten.

Die Anwendungskonfiguration wird gespeichert und Ihre Organisationen werden der Konfigurationsseite der Anwendung hinzugefügt. In den folgenden Abschnitten wird erläutert, wie Sie Security Command Center-Daten im Dienst anzeigen und verwalten.

Upgrade der Google SCC-Anwendung durchführen

In diesem Abschnitt führen Sie ein Upgrade einer vorhandenen Google SCC-Anwendung für QRadar auf die neueste Version durch.

So schließen Sie das Upgrade ab:

  1. Laden Sie die neueste Version der Google SCC-Anwendung von IBM App Exchange herunter.
  2. Melden Sie sich unter https://QRadar_Console_IP in Ihrer QRadar-Konsole an.
  3. Klicken Sie im Konsolenmenü auf Administrator und wählen Sie Erweiterungsverwaltung aus.
  4. Klicken Sie auf Add (Hinzufügen), um die ZIP-Datei für den Download auszuwählen. Folgen Sie den Aufforderungen zur Vorbereitung des Upgrades.
  5. Wählen Sie Vorhandene Elemente ersetzen und Standardinstanz für jede Anwendung starten aus.
  6. Klicken Sie auf Installieren. Nach erfolgreichem Abschluss des Upgrades wird eine Liste der Anwendungskomponenten angezeigt.
  7. Klicken Sie auf den Tab Administrator und dann auf Änderungen bereitstellen.
  8. Leeren Sie den Cache des Browsers und aktualisieren Sie das Browserfenster.
  9. Rufen Sie die Erweiterungsverwaltung auf. Nun sollte Google SCC App For QRadar mit dem Status Installed angezeigt werden.

  10. Entfernen Sie Anwendungsprotokolle von Nutzern, die über SSH von QRadar auf die Anwendung zugreifen:

    1. Laden Sie die neueste Version der Anwendung „Referenzdatenverwaltung“ aus der IBM App Exchange herunter.

    2. Melden Sie sich unter https://QRadar_Console_IP in Ihrer QRadar-Konsole an.

    3. Klicken Sie im Konsolenmenü auf Verwaltung und wählen Sie Erweiterungsverwaltung aus.

    4. Klicken Sie auf Hinzufügen, um die ZIP-Datei für den Download auszuwählen. Folgen Sie der Anleitung, um die Anwendung zu installieren.

    5. Rufen Sie in der Console das Dashboard Referenzdatenverwaltung auf.

    6. Klicken Sie auf Reference Map.

    7. Wählen Sie asset_owners aus und klicken Sie auf Daten löschen.

Exportierte Daten in QRadar ansehen

In diesem Abschnitt werden relevante Funktionen in QRadar beschrieben, einschließlich der Suche nach Ergebnissen, Audi-Logs und Assets, das Aufrufen von IAM-Richtlinien und das Aufrufen benutzerdefinierter Dashboards.

Daten suchen

Im Security Command Center können Sie in QRadar im Bereich Logaktivität suchen. Sie können aufgenommene Ergebnisse, Audit-Logs, Assets und Sicherheitsquellen sehen und Filter im SQL-Stil anwenden, um die Daten zu verfeinern.

IAM-Richtliniendaten anzeigen

So rufen Sie IAM-Richtliniendaten für Ihre Assets auf:

  1. Laden Sie die Anwendung Referenzdatenverwaltung aus dem IBM App Exchange-Portal herunter und installieren Sie sie.
  2. Klicken Sie in QRadar auf das Dashboard zur Referenzdatenverwaltung.
  3. Klicken Sie im Navigationsbereich auf Reference Map.
  4. Wählen Sie asset_owners aus. Das Dashboard wird mit Ihren IAM-Richtliniendaten gefüllt.

Benutzerdefinierte Dashboards

Sie können benutzerdefinierte Dashboards in QRadar verwenden, um Ihre Ergebnisse, Assets und Sicherheitsquellen zu visualisieren und zu analysieren.

Übersicht

Im Dashboard Übersicht wird die Gesamtzahl der Ergebnisse, Bedrohungen und Sicherheitslücken in Ihren Google Cloud-Organisationen angezeigt. Die Ergebnisse werden aus den integrierten Diensten von Security Command Center kompiliert, z. B. Security Health Analytics, Web Security Scanner, Event Threat Detection und Container Threat Detection sowie alle integrierten Dienste, die Sie aktivieren.

Sie können Daten filtern, um Visualisierungen zu aktualisieren, eine Google Cloud-Organisation anzugeben und bei Bedarf neue Daten abzurufen.

Assets

Auf dem Tab Assets wird eine Tabelle Ihrer Google Cloud-Assets angezeigt. Tabellendaten umfassen Asset-Name, Asset-Typ, Ressourceninhaber, Zeitpunkt der letzten Aktualisierung und Links zur Security Command Center-Seite Assets in der Google Cloud Console.

Sie können Asset-Daten nach Organisation, Zeitraum und Asset-Typ suchen und filtern und nach den Ergebnissen bestimmter Assets aufschlüsseln.

Quellen

Auf dem Tab Quellen wird eine Tabelle Ihrer Sicherheitsquellen angezeigt, einschließlich Quellname, Anzeigename der Quelle und Beschreibung. Wenn Sie auf einen Quellnamen klicken, können Sie Ergebnisse für diese Quelle aufrufen.

Ergebnisse

Auf dem Tab Ergebnisse wird eine Tabelle der Ergebnisse Ihrer Organisation angezeigt. Sie können die Tabelle durchsuchen und die Liste nach Zeitraum, Kategorie, Schweregrad, Sicherheitsquelle, Asset und Projektname filtern.

Tabellenspalten umfassen Ergebnisname, Kategorie, Assetname, Name der Sicherheitsquelle, Sicherheitsmarkierungen, Schweregrad, Projektname, Ereigniszeit, Ergebnisklasse und Aktualisierungsstatus. Wenn Sie auf einen Ergebnisnamen klicken, werden Sie zur Seite Ergebnisse von Security Command Center in der Google Cloud Console weitergeleitet und sehen Details zum ausgewählten Ergebnis.

Darüber hinaus können Sie in der Spalte Aktualisierungsstatus den Status eines Ergebnisses aktualisieren. Klicken Sie auf Als AKTIV markieren, um anzugeben, dass Sie ein Ergebnis aktiv prüfen. Wenn Sie ein Ergebnis nicht aktiv prüfen, klicken Sie auf Als INAKTIV markieren.

Audit-Logs

Im Dashboard Audit-Logs werden eine Reihe von Diagrammen und Tabellen angezeigt, die Informationen zum Audit-Log enthalten. Im Dashboard sind Audit-Logs zu Administratoraktivitäten, Datenzugriff, Systemereignissen und Audit-Logs zu abgelehnten Richtlinien enthalten. Die Tabelle enthält die Zeit, den Lognamen, den Schweregrad, den Dienstnamen, den Ressourcennamen und den Ressourcentyp.

Anwendungslogs

  1. Melden Sie sich über SSH in QRadar an.

  2. Listen Sie alle installierten Anwendungen und ihre App-ID-Werte auf:

    /opt/qradar/support/recon ps

    Die entsprechende Ausgabe sieht etwa so aus: Beachten Sie die App-ID der Anwendung Google SCC.

    App-ID  Name                                    Managed Host ID Workload ID             Service Name    AB       Container Name          CDEGH          Port          IJKL
1101    QRadar Log Source Management            53              apps                    qapp-1101       ++           qapp-1101           +++++          5000          ++++
1104    QRadar Assistant                        53              apps                    qapp-1104       ++           qapp-1104           +++++          5000          ++++
1105    QRadar Use Case Manager                 53              apps                    qapp-1105       ++           qapp-1105           +++++          5000          ++++
1163    IBM QRadar Pre-Validation App Service   53              apps                    qapp-1163       ++           qapp-1163           +++++          5000          ++++
1164    IBM QRadar Pre-Validation App UI        53              apps                    qapp-1164       ++           qapp-1164           +++++          5000          ++++
1170    Google SCC                              53              apps                    qapp-1170       ++           qapp-1170           +++++          5000          ++++

  3. Stellen Sie eine Verbindung zum Anwendungscontainer Google SCC her:

    /opt/qradar/support/recon connect APP_ID

    Ersetzen Sie APP_ID durch den App-ID der Google SCC-Anwendung.

  4. Wechseln Sie in das Logverzeichnis:

    cd /opt/app-root/store/log

  5. Listen Sie alle Dateien im Verzeichnis auf:

    ls

  6. So rufen Sie den Inhalt einer Datei auf:

    cat FILENAME

    Ersetzen Sie FILENAME durch den Namen der Datei.

Google SCC-Anwendung deinstallieren

So deinstallieren Sie die Google SCC-Anwendung:

  1. Klicken Sie auf den Tab Verwaltung.
  2. Wählen Sie Erweiterungsverwaltung aus.
  3. Wählen Sie Google SCC App for QRadar – QRadar v7.4.1FP2+ aus.
  4. Klicken Sie auf Deinstallieren.

Wenn Sie die Anwendung deinstallieren, werden benutzerdefinierte Ereignisattribute, Referenzkarten, Dashboards und Logquellen von der Google SCC-Anwendung entfernt.

Bekannte Probleme

In diesem Abschnitt sind bekannte Probleme mit den Google SCC-Anwendungs- und QRadar-Dashboards aufgeführt.

v1.0.0

  • Im Dashboard Übersicht wird im Bereich Ergebnisse nach Schweregrad ein technischer Fehler für Daten mit mehr als 250.000 Ergebnissen und dem Flask-Prozess angezeigt, mit dem die Dashboards im Backend neu gestartet werden. Wählen Sie einen kleineren Zeitraum für das Dashboard aus, um dieses Problem zu vermeiden.

    Dieses Problem wurde in Version 2.0.0 behoben.

  • Gelöschte Assets können aufgrund eines unerwarteten Verhaltens gegenüber der AQL-Funktion GROUP BY im Dashboard Assets angezeigt werden.

v2.0.0

  • Gelöschte Assets können aufgrund eines unerwarteten Verhaltens gegenüber der AQL-Funktion GROUP BY im Dashboard Assets angezeigt werden.
  • Im Dashboard Ergebnisse werden möglicherweise nicht die neuesten Ergebnisdaten angezeigt, nachdem Sie die Google SCC-Anwendung aktualisiert haben, da die GROUP BY-AQL-Funktion unerwartet reagiert.

v3.0.0

  • Wenn mehrere Ereignisse mit demselben eindeutigen Schlüssel verfügbar sind, werden im Dashboard möglicherweise nicht die neuesten Ereignisse angezeigt, da die GROUP BY-AQL-Funktion unerwartet reagiert.
  • Für Daten, die bereits mit Version 2 aufgenommen wurden, ist der Filter Organisations-ID nicht zulässig. Wenn Sie die Daten aufrufen möchten, wählen Sie im Filter Organisations-ID den Wert Alle aus.

Fehlerbehebung

In diesem Abschnitt werden Lösungen für einige häufig auftretende Probleme beschrieben.

Google SCC-Ereignisse werden als Google SCC-Nachrichten angezeigt

Problem: Security Command Center-Ereignisse werden als Security Command Center-Nachrichten angezeigt und nicht als richtige QRadar-Kategorie identifiziert. Nachrichten werden auf dem Tab Log Activity in QRadar angezeigt, wenn ein Nutzer nach einem Ereignis aus einer Google Cloud-Logquelle sucht.

Dieses Problem tritt auf, wenn ein erforderliches Feld nicht in einem Rohlogereignis vorhanden ist oder wenn die Ereignisnutzlast größer als die standardmäßigen 4.096 Byte ist. Dadurch können Ereignisse abgeschnitten werden.

Lösung: Führen Sie die folgenden Schritte aus, um die maximale Nutzlastgröße zu erhöhen, wenn Nutzlasten abgeschnitten werden:

  1. Gehen Sie zum Tab Verwaltung und wählen Sie Systemeinstellungen aus.
  2. Klicken Sie unter Wechseln zu auf Erweitert.
  3. Gehen Sie in der Einstellungsliste so vor:
    1. Wählen Sie Maximale TCP-Syslog-Nutzlastlänge aus und erhöhen Sie ihren Wert. Der empfohlene Wert 32.000 ist.
    2. Wählen Sie Max UDP Syslog Payload Length aus und erhöhen Sie seinen Wert. Der empfohlene Wert 32.000 ist.
  4. Klicken Sie auf Änderungen bereitstellen und verwenden Sie die Option Vollständig bereitstellen.

Google SCC-Ereignisse, die als unbekannte Ereignisse aufgeführt sind

Problem: Security Command Center-Ereignisse werden als Unbekannt aufgeführt. Dieses Problem tritt auf, wenn die Ereignis-ID und die Kategorie aus der Nutzlast nicht in QRadar zugeordnet werden.

Lösung: Führen Sie die folgenden Schritte aus, um das Problem zu beheben:

  1. Gehen Sie zu Logaktivität und klicken Sie auf Filter hinzufügen.
  2. Wählen Sie Parameter und dann Logquelltyp (indexiert) aus.
  3. Wählen Sie Operator und dann Ist gleich aus.
  4. Wählen Sie Log Source Type (Logquelltyp) und dann Google SCC aus.
  5. Wählen Sie im Drop-down-Menü Ansichten die Option Letzte 7 Tage aus.
  6. Führen Sie die folgenden Schritte aus, wenn Ereignisse als Unbekannt angezeigt werden:
    1. Klicken Sie mit der rechten Maustaste auf das Ereignis und wählen Sie Im Debugger-Editor anzeigen aus.
    2. Prüfen Sie unter Vorschau der Logaktivität die Werte der Ereignis-ID und Ereigniskategorie.
    3. Wenden Sie sich an den Cloud-Support, wenn die Werte unbekannt sind.

Die App-Konfiguration schlägt mit Fehlermeldungen fehl.

Gehen Sie so vor, um das Problem zu beheben, wenn Sie einen Fehler bei der Anwendungskonfiguration erhalten:

Fehler Beschreibung Lösung
"Geben Sie ein gültiges Dienstkonto-JSON ein." Dieser Fehler tritt auf, wenn eine korrekt formatierte JSON-Datei bereitgestellt wird, aber die Authentifizierung beim Speichern der Konfiguration fehlschlägt. Geben Sie eine gültige JSON-Datei mit den richtigen Anmeldedaten für das Konto ein.
"Das Dienstkonto-JSON sollte ein JSON-String sein." Dieser Fehler tritt auf, wenn eine falsch formatierte JSON-Datei bereitgestellt oder die Datei in einem anderen Format als JSON vorliegt. Geben Sie eine gültige JSON-Datei ein.
"Geben Sie eine gültige Organisations-ID ein." Dieser Fehler tritt auf, wenn eine falsche oder unvollständige Organisations-ID eingegeben wird. Prüfen Sie Ihre Organisations-ID und geben Sie sie noch einmal ein.
"Geben Sie eine gültige Projekt-ID oder die Abo-ID für Ergebnisse ein." Dieser Fehler tritt auf, wenn eine falsche oder ungültige Projekt-ID oder Abo-ID eingegeben wird. Prüfen Sie Ihre Projekt-ID und Organisations-ID und geben Sie sie noch einmal ein.
"Geben Sie eine gültige Abo-ID für Assets ein." Dieser Fehler tritt auf, wenn eine falsche oder ungültige Asset-Abo-ID eingegeben wird. Prüfen Sie Ihre Asset-Abo-ID und geben Sie sie noch einmal ein.
"Fehler beim Validieren des Autorisierungstokens." Dieser Fehler, wenn ein falsches oder ungültiges QRadar-Autorisierungstoken bereitgestellt wird. Prüfen Sie Ihr QRadar-Autorisierungstoken und geben Sie es noch einmal ein. Es muss die Rolle Administrator als Nutzerrolle und Sicherheitsprofil haben. Das Token darf außerdem nicht abgelaufen sein.

Fehler beim Initiieren der Socket-Verbindung mit QRadar

Problem: In den Datenerfassungslogdateien wird die Fehlermeldung "Fehler beim Starten der Socket-Verbindung mit IBM QRadar" angezeigt. Dieses Problem kann im QRadar v2-App-Framework (< v7.4.2 P2) beobachtet werden.

Lösung: Führen Sie die folgenden Schritte aus, um das Problem zu beheben:

  1. Supporthinweis zu Änderungen an der QRadar-Bereitstellung
  2. Führen Sie ein Upgrade von QRadar durch.

Probleme mit der Benutzeroberfläche

Problem: In einem Dashboard-Fenster oder einer Konfigurationsseite werden Fehler oder unbeabsichtigtes Verhalten angezeigt.

Lösung: Führen Sie die folgenden Schritte aus, um das Problem zu beheben:

  1. Leeren Sie den Browsercache und laden Sie die Webseite neu.
  2. Verkürzen Sie den Zeitraum des Filters. QRadar-Abfragen können ablaufen, wenn die Anzahl der Antworten zu groß ist.
  3. Wenden Sie sich an den Cloud-Support, wenn das Problem nicht behoben wurde.

Dashboards können nicht geladen werden und der Flask-Prozess wird beendet

Problem: Beim Zeitlimit für den Flask-Prozess wird das Zeitlimit überschritten und einige Dashboard-Bereiche werden nicht geladen.

Lösung: Führen Sie die folgenden Schritte aus, um das Problem zu beheben:

  1. Leeren Sie den Browsercache und laden Sie die Webseite neu.
  2. Verkürzen Sie den Zeitraum des Filters. QRadar-Abfragen können ablaufen, wenn die Anzahl der Antworten zu groß ist.
  3. Wenn das Problem nicht behoben wurde, wenden Sie sich an den Cloud-Support.

Alle anderen Leistungsprobleme

Gehen Sie so vor, wenn Ihr Problem nicht mit den Anleitungen in dieser Anleitung behoben wird:

  1. Gehen Sie zum Tab Admin und klicken Sie auf System and License Management.
  2. Wählen Sie den Host aus, auf dem Google SCC App for QRadar – QRadar v7.4.1FP2+ installiert ist.
  3. Klicken Sie auf Aktion und wählen Sie Logdateien erfassen aus.
  4. Klicken Sie im Dialogfeld auf Erweiterte Optionen.
  5. Klicken Sie die Kästchen neben Debug-Logs einschließen, Logs der Anwendungserweiterung und Logs einrichten (aktuelle Version) an.
  6. Wählen Sie zwei Tage als Dateneingabe aus und klicken Sie dann auf Logdateien erfassen.

  7. Wählen Sie Zum Herunterladen von Dateien hier klicken aus.

    Logdateien werden als ZIP-Datei heruntergeladen. Wenden Sie sich an den Cloud-Support und geben Sie die Logdateien frei.

Nächste Schritte