A criação de linha de base de rede falha

Quando o QRadar® Network Threat Analytics falha ao criar a linha de base de rede, a página inicial não mostra nenhuma descoberta. A linha de base pode falhar quando você não tiver dados de fluxo suficientes no QRadar ou quando seu certificado não for validado.

Procure mensagens no arquivo de registro que possam indicar o motivo da falha.. Para visualizar o arquivo de log, siga estas etapas:

Use SSH para efetuar login no sistema que hospeda o app.

Digite este comando para determinar o qapp ID do aplicativo:

/opt/qradar/support/recon ps | grep "Network Threat Analytics"

Visualize o arquivo de log de uma das seguintes maneiras:
- Visualizar o arquivo de log do host do app.
  /store/docker/volumes/<qapp-####>/log/app.log
  em que < qapp-####> é o qapp ID para QRadar Network Threat Analytics.
- Visualize o arquivo de log de dentro do contêiner do app.
  /opt/app-root/store/log/app.log

Mensagens de exemplo do arquivo de log

Os exemplos a seguir mostram mensagens de arquivo de log que podem estar relacionadas a falhas de linha de base e explicam como é possível resolver o problema

Não há dados de fluxo suficientes disponíveis

Se o arquivo de log incluir uma mensagem como esta, sua instância do QRadar não terá dados de fluxo suficientes..

[WARNING] - invalid flow rate for task id: root 
[WARNING] - No flow records retrieved for generating a new cluster node, task id: root, exception: flow rate is zero
[ERROR] - empty flow tree to optimize

Para concluir com sucesso o processo de linha de base, sua instância do QRadar deve ter pelo menos uma semana de dados de fluxo contínuo. Dependendo de seu ambiente, pode ser necessário configurar o QRadar com as fontes de fluxo adequadas Para visualizar os dados de fluxo que estão no QRadar, clique na guia Atividade de Rede (Network Activity)

Importante: Os dados de fluxo devem representar atividade típica da rede. Os dados de fluxo em um ambiente de teste ou os dados que foram coletados durante os feriados podem não ser representativos da atividade da rede típica.

Três dias depois que o processo de linha de base da rede falhar, o aplicativo tentará automaticamente novamente Este ciclo é repetido até que o sistema tenha dados de fluxo suficientes para criar com êxito a linha de base da rede

Falha ao verificar o certificado

Se o arquivo de log incluir uma mensagem como esta, o certificado usado pelo QRadar Network Threat Analytics não poderá ser validado.

SSLError(SSLError("bad handshake: Error([('SSL routines', 'tls_process_server_certificate','certificate verify failed')],)",),)

O aplicativo QRadar Network Threat Analytics valida o certificado quando ele cria uma conexão com o QRadar Console. O processo de linha de base poderá falhar se o certificado do QRadar Console não for válido ou se os parâmetros de conexão não corresponderem ao conteúdo do certificado

Para desativar a validação de certificado e recriar a linha de base da rede.

Use SSH para efetuar login no sistema que hospeda o aplicativo, como o host de app.
Execute o comando a seguir para desativar a validação de certificado e reiniciar o serviço startmmgr.
```
CON=$(docker ps|grep "qapp-$(/opt/qradar/support/recon ps|grep "Network Threat Analytics"|sed 's/\s\+.*//')-"|sed 's/\s\+.*//'); docker exec $CON cp /opt/app-root/container/conf/mmgr/mmgr.json /opt/app-root/store/conf/mmgr/mmgr.json; docker exec $CON sed -si 's/"VERSION": ""$/"VERSION": "",\n "VERIFY": false/' /opt/app-root/store/conf/mmgr/mmgr.json; docker exec $CON psql -U appuser -d nta_anomflows -c "truncate table modelmanager.flowtree CASCADE"; docker exec $CON supervisorctl restart startmmgr
```
Aviso: não execute este comando se a linha de base já tiver sido criada para esta instalação do QRadar Network Threat Analytics Se você executar esse comando após a linha de base de rede ser criada, o status será apagado, o que pode causar um comportamento imprevisível no aplicativo

Após a reinicialização do serviço, o aplicativo QRadar Network Threat Analytics tenta criar a linha de base de rede novamente.