IBM QRadar SOAR Plug-in アプリケーションのトラブルシューティング

自動エスカレーションが予期したとおりに機能しない

QRadar オフェンスが自動的に SOARにエスカレートされることはありません。

app.log ファイルと circuits.log ファイルには、認証の問題を示す以下のようなメッセージが表示されます。

ユーザー < API KEY> は、 < resource> へのアクセスを許可されていません

アプリケーション構成を検証しようとすると内部サーバー・エラーが表示される

QRadar SOAR プラグイン ・アプリケーションを構成したが、 「検証と構成」をクリックすると、アプリケーションが失敗して表示されるInternal Server Error.

この問題は、 getcert.sh スクリプトを QRadarで実行できないために発生します。

この問題を解決するには、CA 証明書を QRadar コンソールにコピーします。 詳しくは、 インバウンド宛先へのアクセスの構成を参照してください。

QRadar コンソール にタイムアウト・エラーが表示される

エラー: escalateURL への呼び出しがタイムアウトになりました

この問題は、 SOAR API 呼び出しの完了に QRadar コンソール のタイムアウト期間よりも長い時間がかかる場合に発生する可能性があります。

SOAR でケースが見つかりません

エラー: ID xxxxx のオブジェクトが見つかりません

QRadar SOAR プラグイン ・アプリケーションで構成されているものと同じ SOAR 組織にログインしていることを確認します。

ドメインをスクリプト化できないことを示すエラー・メッセージ

以下のエラー・メッセージを含むウィンドウが表示されます。'QRadarDomain' object is not scriptable.

この問題を解決するには、 QRadar ドメインと SOAR 子組織を再マップします。 詳しくは、 QRadar SOAR プラグイン・アプリケーションの構成を参照してください。

エアギャップ環境でのインストールの問題

エアギャップ環境でのインストールおよびアップグレードの問題は、構成の問題が原因である可能性があります。

アップグレード後に、必要なすべての構成情報を必ず指定してください。 詳しくは、 構成を参照してください。

警告: 接続後に再試行中 (再試行 (total=4, connect = None, read = None, redirect = None, status = None)) 
'ConnectTimeoutError(<pip._vendor.urllib3.connection.HTTPSConnectionオブジェクト at0x7f624e6a3080>ています、 
' pypi.org への接続がタイムアウトになりました。 (connect timeout=15) ')': /simple/argparse/

QRadar SOAR プラグイン の接続状況が 「競合」 である

「SOAR 接続状況」 には、 IBM QRadarからの SOAR インバウンド宛先の最後の接続テストの状況が表示されます。

接続が 「競合」 状況を示している場合は、インバウンド宛先へのアクセスが正しく構成されていることを確認してください。 詳しくは、 インバウンド宛先へのアクセスの構成を参照してください。

アプリは古いインバウンド・メッセージ・キューのモニターを続行します

IBMSecurity SOARPlatformまたはSOAR forIBM Cloud Pak® for Securityの新しいインスタンスに接続するためにQRadar SOARPlug-inアプリを再設定した後、アプリは以前の構成から受信メッセージキューからのメッセージを処理し続けます。

構成の検証中に正しくないゲートウェイ・エラーが発生しました

以下を受け取ったとします。Bad Gatewayアプリケーション構成の検証時にエラーが発生しました。SOAR API キーが最新であることを確認してください。

SOAR forIBM Cloud Pak for Securityのインスタンスにアプリを接続している場合は、API Key がまだ有効で、正しい組織へのパーミッションが許可されていることを確認します。 新しい API キーを作成し、構成変更をプッシュすることが必要になる場合があります。

APIキーの権限についての詳細は、 最小システム要件を参照してください。

パフォーマンスはほぼリアルタイムではありません

新しいオフェンスの作成に遅延が発生する可能性があります。

この状態が続く場合は、サポート・チケットをオープンして、 IBM サポート・アナリストにご使用の環境を確認してもらいます。

QRadar SOARPlug-inアプリのインストール後に作成されたドメインで、オフェンスの自動エスカレーションが機能しない

QRadar SOARPlug-inアプリをインストールした後、QRadarで新しいドメインが作成されるたびに、管理者はアプリの接続をリセットする必要があります。 これにより、新しく作成されたドメインで自動オフェンス・エスカレーションが機能するようになります。