Resolução de problemas do IBM Security QRadar AQL Plugin ..
Use as informações a seguir para solucionar problemas de seu IBM® Security QRadar® AQL Plugin
Importante: se não for possível resolver um problema com seus IBM Security QRadar AQL Plugin, painéis do Grafana , painéis do Grafana ou consulta AQL, entre em contato com o Suporte ao cliente (www.ibm.com/support/).
QRadar Desempenho da API do Ariel Search
O tempo total de solicitação do painel do IBM Security QRadar AQL Plugin pode variar de acordo com o tempo de resposta da API do Ariel Search do QRadar . Esse tempo de resposta pode ser impactada por vários fatores, incluindo:
- do estado do servidor Ariel QRadar
- Disponibilidade do recurso QRadar
A sintaxe da consulta AQL pode ser otimizada para o desempenho
Para obter mais informações, consulte Dicas para criar consultas AQL para gráficos de painel.
Resolução de erros de origem de dados
| Mensagem de erro | Problema | Solução |
|---|---|---|
| check your QRadar host connection refused. Check your QRadar Port |
O host não pode ser contatado porque o endereço do host ou o número da porta está incorreto |
|
failed to verify certificate for the requested data source. Please check your SSL certificate unauthorized access to the requested data source. Please check your Authorized Service Token |
As informações no campo Certificado SSL ou Token de serviço autorizado estão incorretas ou ausentes. |
|
| dial tcp 9.30.167.223:443: connect: connection refused | O plug-in não consegue se conectar a QRadar. | Verifique a conexão de rede. |
| time zone not found: | O valor do fuso horário inserido não corresponde ao formato esperado, Região/Cidade, ou não é válido. |
|
| error while closing response body | Erro interno do cliente HTTP. | Entre em contato com Suporte ao cliente (www.ibm.com/support/). |
Resolução de problemas de erros de consulta
| Mensagem de erro | Problema |
|---|---|
| Parse error: no viable alternative at input ''. The query_expression contains invalid AQL syntax. | Sua sintaxe da consulta AQL contém um erro de palavra-chave |
| Field "usernam" does not exist in catalog "events". The query_expression contains invalid AQL syntax. | A coluna referenciada em sua consulta AQL não existe. |
| Catalog "event" does not exist. The query_expression contains invalid AQL syntax. | A tabela que é referenciada em sua consulta AQL não existe. |
| Unrecognized context (Line: 1, Position: 32): "%s". The query_expression contains invalid AQL syntax. | Sua sintaxe da consulta AQL contém um erro de palavra-chave |
| Parse error: missing SELECT at 'Selet'. The query_expression contains invalid AQL syntax. | Sua sintaxe da consulta AQL contém um erro de palavra-chave |
| Parse error: extraneous input 'NT' expecting {TRUE, FALSE, NULL}. The query_expression contains invalid AQL syntax. | Sua sintaxe da consulta AQL contém um erro de palavra-chave |
| Parse error: mismatched input 'minute' expecting {MINUTES, HOURS, DAYS}. The query_expression contains invalid AQL syntax. | Sua sintaxe da consulta AQL contém um erro de palavra-chave |
| Failed to connect to ariel server. Please try again later. The Ariel server might be temporarily unavailable or offline. Please try again later. | QRadar O servidor Ariel não está em execução. Contato QRadar admin. |
| parsed response has no data. | Seu conjunto de resultados da consulta AQL está vazio Dica: Use o recurso Advanced Search em QRadar Log Activity / Network Activity para executar consultas AQL e verificar a existência de resultados de consultas.
|
| query error: the QRadar AQL plugin currently supports only the events, flows, and globalview databases. | Um banco de dados Ariel não suportado foi usado em uma consulta AQL, por exemplo, simarc.. |
| Timeout getting query status after ``. QRadar Search `` has been cancelled. | Os resultados da consulta de espera excederam o valor de limite configurado. |
| Unable to parse time: "00:00 2023-10-04". Unable to parse '00:00 2023-10-04'.. The query_expression contains invalid AQL syntax. | Os valores de START / STOP do plug-in estão em um formato de data / hora não suportado |
Para resolver esses problemas, você deve corrigir sua consulta AQL. Para editar sua consulta, siga estas etapas:
- Em sua instância do Grafana , no menu de navegação, clique em Painéis.
- Na página Painéis , clique no painel que deseja editar.
- No painel que você deseja editar, clique no ícone Menu (
) e, em seguida, clique em Editar. - Edite sua consulta e clique em Salvar.
- No painel Salvar painel , insira uma descrição de suas alterações e clique em Salvar.
Para obter mais informações sobre consultas AQL, consulte Ariel Query Language (AQL)
Ativando a criação de log Grafana
Todas as entradas de log de plug-in são de nível DEBUG. Para fornecer mais detalhes durante a resolução de problemas, ative a criação de log de nível DEBUG do Grafana nas configurações.
- Para abrir o arquivo grafana.ini , execute o comando a seguir:
vi /etc/grafana/grafana.ini - No arquivo grafana.ini , na seção configuração de plug-ins , atualize a linha a seguir:
com a seguinte entrada:#################################### Logging ########################## [log] ;level=#################################### Logging ########################## [log] level=debug - Para reiniciar Grafana e aplicar as mudanças, execute o comando a seguir:
sudo /bin/systemctl restart grafana-server.service
Fuso Horário
Para garantir que seus painéis retornem resultados precisos, o fuso horário do plug-in deve corresponder ao fuso QRadar horário da instância.
- No menu de navegação, clique em Connections > Data Sources.
- Na página Data Sources, selecione um fuso horário para todas as consultas no menu suspenso de fuso horário (o padrão é UTC).
- Clique em Save & test.