のトラブルシューティング IBM Security QRadar AQL Plugin

以下の情報を使用して、 IBM® Security QRadar® AQL Pluginのトラブルシューティングを行います。

重要: IBM Security QRadar AQL Plugin、 Grafana ダッシュボード、 Grafana ダッシュボード・パネル、または AQL 照会の問題を解決できない場合は、 お客様サポート (www.ibm.com/support/)にお問い合わせください。

QRadar Ariel 検索 API のパフォーマンス

IBM Security QRadar AQL Plugin ダッシュボード・パネルの合計要求時間は、 QRadar Ariel 検索 API の応答時間によって異なる場合があります。 この応答時間は、以下のようないくつかの要因の影響を受ける可能性があります。
  • QRadar Ariel サーバーの状態
  • QRadar リソースの可用性

AQL 照会構文は、パフォーマンスを最適化することができます。

詳細については、ダッシュボード・チャート用のAQLクエリを作成するためのヒントを参照してください。

データ・ソース・エラーのトラブルシューティング

表 1. 一般的なデータ・ソースの問題と解決策
エラー・メッセージ 問題 解決方法 (Solution)
check your QRadar host

connection refused. Check your QRadar Port

 ホスト・アドレスまたはポート番号が正しくないため、ホストに接続できません。
  1. Grafanaインスタンスで、ナビゲーション・メニューからコネクション > データソースをクリックします。
  2. データソースページで、IBM Security QRadar AQL Pluginをクリックします。
  3. QRadar ホスト の欄に、お客様の QRadar URL を入力してください。
  4. QRadar 「ポート」 フィールドに、 QRadar ポートを入力します。
  5. 「保存」&「テスト」をクリックします。

failed to verify certificate for the requested data source. Please check your SSL certificate

unauthorized access to the requested data source. Please check your Authorized Service Token

 「SSL 証明書」 または 「許可サービス・トークン」 フィールドの情報が正しくないか、欠落しています。
  1. Grafanaインスタンスで、ナビゲーション・メニューからコネクション > データソースをクリックします。
  2. データソースページで、QRadar AQLプラグインをクリックします。
  3. 「SSL 証明書」 フィールドに、 QRadar SSL 証明書を入力します。
  4. 「許可サービス・トークン」 フィールドに、 QRadar 許可サービス・トークンを入力します。
  5. 「保存」&「テスト」をクリックします。
dial tcp 9.30.167.223:443: connect: connection refused プラグインは QRadar に接続できません。 ネットワーク接続を確認してください。
time zone not found: 入力されたタイムゾーンの値が、期待される形式（地域/都市）と一致しないか、有効ではありません。
  1. Grafanaインスタンスで、ナビゲーション・メニューからコネクション > データソースをクリックします。
  2. データソースページで、QRadar AQLプラグインをクリックします。
  3. Plugin TimeZoneフィールドで、タイムゾーンのドロップダウンからすべてのクエリのタイムゾーンを選択します（デフォルトはUTCです）。
error while closing response body 内部 HTTP クライアントエラー。 カスタマーサポート (www.ibm.com/support/) までご連絡ください。

照会エラーのトラブルシューティング

表 2. 一般的な AQL 照会の問題
エラー・メッセージ 問題
Parse error: no viable alternative at input ''. The query_expression contains invalid AQL syntax. AQL 照会構文に keyword エラーが含まれています。
Field "usernam" does not exist in catalog "events". The query_expression contains invalid AQL syntax. AQL 照会で参照されている列が存在しません。
Catalog "event" does not exist. The query_expression contains invalid AQL syntax. AQL 照会で参照されている表が存在しません。
Unrecognized context (Line: 1, Position: 32): "%s". The query_expression contains invalid AQL syntax. AQL 照会構文に keyword エラーが含まれています。
Parse error: missing SELECT at 'Selet'. The query_expression contains invalid AQL syntax. AQL 照会構文に keyword エラーが含まれています。
Parse error: extraneous input 'NT' expecting {TRUE, FALSE, NULL}. The query_expression contains invalid AQL syntax. AQL 照会構文に keyword エラーが含まれています。
Parse error: mismatched input 'minute' expecting {MINUTES, HOURS, DAYS}. The query_expression contains invalid AQL syntax. AQL 照会構文に keyword エラーが含まれています。
Failed to connect to ariel server. Please try again later. The Ariel server might be temporarily unavailable or offline. Please try again later. QRadar arielサーバーが起動していません。 QRadar管理者に連絡する。
parsed response has no data. AQL 照会結果セットが空です。
ヒント: QRadar ログ アクティビティ / ネットワーク アクティビティの Advanced Search 機能を使用して、AQL クエリを実行し、クエリ結果の存在を確認します。
query error: the QRadar AQL plugin currently supports only the events, flows, and globalview databases. サポートされない Ariel データベースが AQL 照会 (simarc など) で使用されました。
Timeout getting query status after ``. QRadar Search `` has been cancelled. 待機照会の結果が、構成されたタイムアウト値を超えました。
Unable to parse time: "00:00 2023-10-04". Unable to parse '00:00 2023-10-04'.. The query_expression contains invalid AQL syntax. プラグインの START/STOP 値が、サポートされていない日時形式になっています。
これらの問題を解決するには、AQL 照会を修正する必要があります。 照会を編集するには、以下の手順を実行します。
  1. Grafana インスタンスで、ナビゲーション・メニューから 「ダッシュボード」をクリックします。
  2. 「ダッシュボード」 ページで、編集するダッシュボードをクリックします。
  3. 編集したいパネルで、メニューアイコン（メニュー・アイコン）をクリックし、編集をクリックします
  4. 照会を編集し、 「保存」をクリックします。
  5. 「ダッシュボードの保存」 パネルで、変更の説明を入力し、 「保存」をクリックします。

AQLクエリーの詳細については、アリエル・クエリー言語（AQL）を参照のこと

Grafana ロギングの有効化

すべてのプラグイン・ログ・エントリーは DEBUG レベルです。 トラブルシューティング中に詳細を提供するには、構成設定で Grafana DEBUG レベルのロギングを有効にします。

  1. grafana.ini ファイルを開くには、以下のコマンドを実行します。
     vi /etc/grafana/grafana.ini
  2. grafana.ini ファイルの plugins configuration セクションで、以下の行を更新します。
    #################################### Logging ##########################
[log]
;level=
    次のように入力します。
    #################################### Logging ##########################
[log]
level=debug
  3. Grafana を再始動して変更を適用するには、以下のコマンドを実行します。
    sudo /bin/systemctl restart grafana-server.service

タイム・ゾーン

ダッシュボードが正確な結果を返すようにするには、プラグインのタイムゾーンがQRadarインスタンスのタイムゾーンと一致している必要があります。

  1. ナビゲーション・メニューから、接続 > データ・ソースをクリックします。
  2. データソースページで、タイムゾーンのドロップダウンからすべてのクエリのタイムゾーンを選択します（デフォルトはUTC）。
  3. Save & testをクリックします。