ネットワーク・ベースラインの作成が失敗する

QRadar® Network Threat Analytics がネットワーク・ベースラインの作成に失敗すると、ホーム・ページに検出結果が表示されません。 QRadar に十分なフロー・データがない場合、または証明書が検証されない場合、ベースラインは失敗する可能性があります。
失敗の理由を示す可能性があるメッセージをログ・ファイルで探してください。 ログ・ファイルを表示するには、以下の手順を実行します。
  1. SSH を使用して、アプリケーションをホストするシステムにログインします。
  2. 以下のコマンドを入力して、アプリケーションのqapp IDを判別します。
    /opt/qradar/support/recon ps | grep "Network Threat Analytics"
  3. 以下のいずれかの方法でログ・ファイルを表示します。
    • アプリケーション・ホストからのログ・ファイルを表示します。

      /store/docker/volumes/<qapp-####>/log/app.log

      ここで、 < qapp-####> は、 QRadar Network Threat Analyticsの qapp ID です。
    • アプリ・コンテナー内からログ・ファイルを表示します。

      /opt/app-root/store/log/app.log

ログ・ファイルからのメッセージ例

以下の例では、ベースライン障害に関連する可能性があるログ・ファイル・メッセージを示し、問題の解決方法について説明します。

使用可能なフロー・データが不足

ログ・ファイルにこのようなメッセージが含まれている場合、 QRadar インスタンスには十分なフロー・データがありません。

[警告] - タスク ID: root のフロー・レートが無効です (invalid flow rate for task id: root) 
[警告] - 新しいクラスター・ノードを生成するために取得されたフロー・レコードがありません。タスク ID: root、例外: フロー・レートがゼロです (No flow records retrieved for generating a new cluster node, task id: root, exception: flow rate is zero)
[エラー] - 最適化するフロー・ツリーが空です (empty flow tree to optimize)

ベースライン・プロセスを正常に完了するには、 QRadar インスタンスに少なくとも 1 週間分の連続フロー・データが必要です。 ご使用の環境によっては、適切なフロー・ソースを使用して QRadar を構成する必要がある場合があります。 QRadarにあるフロー・データを表示するには、 「ネットワーク・アクティビティー」 タブをクリックします。

重要: フロー・データは、標準的なネットワーク・アクティビティーを表す必要があります。 テスト環境におけるフロー・データ、または休日に収集されたデータは、標準的なネットワーク・アクティビティーを表していない場合があります。

ネットワーク・ベースライン・プロセスが失敗してから 3 日後に、アプリは自動的に再試行します。 このサイクルは、ネットワーク・ベースラインを正常に作成するのに十分なフロー・データがシステムにあるまで繰り返されます。

証明書の検証に失敗

ログ・ファイルにこのようなメッセージが含まれている場合、 QRadar Network Threat Analytics で使用される証明書を検証できません。

SSLError(SSLError("bad handshake: Error([('SSL routines', 'tls_process_server_certificate','certificate verify failed')],)",),)

QRadar Network Threat Analytics アプリケーションは、 QRadar コンソールへの接続を作成するときに証明書を検証します。 QRadar コンソール 証明書が無効な場合、または接続パラメーターが証明書の内容と一致しない場合、ベースライン・プロセスが失敗する可能性があります。

証明書の検証を無効にしてネットワーク・ベースラインを再作成するには、以下の手順を実行します。
  1. SSH を使用して、アプリケーション・ホストなどのアプリケーションをホストするシステムにログインします。
  2. 以下のコマンドを実行して、証明書の検証を無効にし、startmmgr サービスを再始動します。
    CON=$(docker ps|grep "qapp-$(/opt/qradar/support/recon ps|grep "Network Threat Analytics"|sed 's/\s\+.*//')-"|sed 's/\s\+.*//'); docker exec $CON cp /opt/app-root/container/conf/mmgr/mmgr.json /opt/app-root/store/conf/mmgr/mmgr.json; docker exec $CON sed -si 's/"VERSION": ""$/"VERSION": "",\n "VERIFY": false/' /opt/app-root/store/conf/mmgr/mmgr.json; docker exec $CON psql -U appuser -d nta_anomflows -c "truncate table modelmanager.flowtree CASCADE"; docker exec $CON supervisorctl restart startmmgr
    警告: この QRadar Network Threat Analytics インストール済み環境用にベースラインが既に作成されている場合は、このコマンドを実行しないでください。 ネットワーク・ベースラインの作成後にこのコマンドを実行すると、状況が消去され、アプリケーションで予期しない動作が発生する可能性があります。

    サービスが再始動すると、 QRadar Network Threat Analytics アプリケーションは、ネットワーク・ベースラインの作成を再試行します。