Resolução de problemas do aplicativo IBM QRadar SOAR Plug-in

As informações a seguir podem ajudar a identificar e resolver problemas comuns no app IBM® QRadar® SOAR Plug-in .

Também é possível fazer download de arquivos de configuração e de arquivos de log em seu computador local Para obter mais informações, consulte Fazendo download de arquivos de log e de configuração

Escalações automáticas não estão funcionando conforme o esperado

As ofensas do QRadar não são escaladas automaticamente para SOAR.

Os arquivos app.log e circuits.log mostram mensagens semelhantes a esta que indicam um problema de autenticação..

O usuário < API KEY> não está autorizado a acessar < resource>
Os problemas a seguir podem causar esse problema:
Problema Solução

A chave de API está bloqueada ou expirou

Para resolver esse problema, efetue login no SOAR e gere novamente o segredo da chave de API ou crie uma nova chave Para obter mais informações, consulte a nota técnica Um app usando uma chave API não pode se conectar à IBM Security QRadar SOAR .

O endereço IP é banido no SOAR

Para obter mais informações sobre como resolver esse problema, consulte a nota técnica Como resolver a falha do app de integração com a chave de API expirada

A chave API para o MSSP não foi enviada por push para as organizações-filhas SOAR .
Para resolver esse problema, siga estas etapas:
  1. Efetue login no SOAR..
  2. Na organização de configuração, acesse a guia Configurações do administrador > Usuários
  3. Certifique-se de que a chave de API para o aplicativo QRadar SOAR Plug-in esteja designada às organizações-filhas
  4. Acesse o menu Configurações do administrador > Push de configuração e clique em Configuração de push.
Para verificar o status do sistema, siga estas etapas:
  1. Efetue login no QRadar como um administrador
  2. Na guia Administrador , na seção IBM QRadar SOAR Plugin , clique em Configuração.
  3. Na guia Status , clique em Testar conexão
  4. Aguarde alguns segundos para que o teste seja concluído e clique em Atualizar status.

O erro interno do servidor aparece quando você tenta verificar a configuração do aplicativo..

Você configura o app QRadar SOAR Plug-in , mas ao clicar em Verificar e Configurar, o app falha e é mostradoInternal Server Error.

Esse problema ocorre porque o script getcert.sh não pode ser executado no QRadar

Para resolver esse problema, copie os certificados de CA para o QRadar Console. Para obter mais informações, consulte Configurando o Acesso aos Destinos de Entrada.

QRadar Console mostra um erro de tempo limite

A mensagem a seguir aparece na janela do navegador QRadar Console :
Erro: a chamada para escalateURL atingiu o limite

Esse problema pode ocorrer quando a chamada API SOAR demora mais para ser concluída do que o período de tempo limite do QRadar Console .

Para resolver esse problema, aumente o valor de tempo limite do SOAR do valor padrão de 30 segundos. Aumentar esse valor permite mais tempo para a chamada da API SOAR ser concluída.
Nota: em alguns casos, essa mensagem aparece na interface QRadar , mesmo que a chamada API seja concluída com êxito. Não é possível alterar o valor de tempo limite para a interface QRadar .

Não é possível localizar o caso em SOAR ..

O app QRadar SOAR Plug-in cria um caso, mas você vê a mensagem de erro a seguir ao tentar visualizar o caso em SOAR
Erro: Não é possível localizar o objeto com ID xxxxx

Verifique se você efetuou login na mesma organização SOAR que está configurada no app QRadar SOAR

Para visualizar a organização que está configurada no aplicativo, siga estas etapas:
  1. Efetue login no QRadar como um administrador
  2. Na guia Administrador , na seção IBM QRadar SOAR Plugin , clique em Configuração.

    É possível ver a organização na guia Acesso no campo Nome da Organização .

Mensagem de erro indica que os domínios não podem ter script

Uma janela aparece com a seguinte mensagem de erro:'QRadarDomain' object is not scriptable.

Para resolver esse problema, remapeie os domínios QRadar e as organizações-filhas SOAR . Para obter mais informações, consulte Configurando o QRadar SOAR Plug-in app.

Problemas de Instalação em Ambientes Fisicamente Isolados

Problemas com instalações e atualizações em ambientes fisicamente isolados podem ser causados por problemas de configuração.

Após o upgrade, assegure-se de fornecer todas as informações de configuração necessárias. Para obter mais informações, consulte Configuração..

Se os logs do contêiner do Docker contiverem essa mensagem, será possível ignorá-la já que o contêiner de aplicativo será eventualmente construído
AVISO: tentando novamente (tentar novamente (total=4, conectar = Nenhum, ler = Nenhum, redirecionar = Nenhum, status = Nenhum) após a conexão 
interrompido por 'ConnectTimeoutError(<pip._vendor.urllib3.connection.HTTPSConnection object at 0x7f624e6a3080> 
' A conexão com o pypi.org atingiu o tempo limite (connect timeout=15) ')': /simple/argparse/

O status da conexão do QRadar SOAR Plug-in é Conflito

O Status da Conexão SOAR mostra o status do último teste de conexão para o destino de entrada SOAR a partir do IBM QRadar.

Se a conexão mostrar um status Conflito , assegure que o acesso ao destino de entrada esteja configurado corretamente. Para obter mais informações, consulte Configurando o Acesso aos Destinos de Entrada.

Depois de configurar o destino de entrada, siga estas etapas para restabelecer a conexão com o destino de entrada
  1. Na configuração do IBM QRadar SOAR Plug-in , clique na guia Status
  2. Clique em Ação > Excluir conexão..
  3. Na guia Acessar , clique em Salvar

O aplicativo continua a monitorar uma fila de mensagens de entrada mais antiga

Depois que você reconfigurar o aplicativo QRadar SOAR Plug-in para se conectar a uma nova instância do IBM Security SOAR Platform ou do SOAR for IBM Cloud Pak® for Security, o aplicativo continuará a processar as mensagens da fila de mensagens de entrada da configuração anterior.

Para resolver esse problema, siga estas etapas para limpar a configuração antiga da fila de mensagens
  1. Na guia Administrador , na seção IBM QRadar SOAR Plugin , clique em Configuração.
  2. Na guia Status , clique em Ação, em seguida, clique em Excluir Conexão.
  3. Na guia Acesso , clique em Verificar e Configurare, em seguida, em Salvar.

Erro de gateway inválido ao verificar a configuração

Se você receber umBad Gatewayerro quando você verificar a configuração do aplicativo, confirme se a chave de API SOAR está atualizada

Se você estiver conectando o aplicativo a uma instância do SOAR para IBM Cloud Pak for Security, confirme se a chave de API ainda é válida e se ela permite permissões para as organizações corretas. Pode ser necessário criar uma nova chave de API e enviar por push as mudanças na configuração

Para obter mais informações sobre as permissões da chave de API, consulte Requisitos mínimos do sistema.

Desempenho não é quase em tempo real

Você pode ter atrasos na criação de novas ofensas

Existem vários fatores que podem causar atrasos:
  • A rede se desconecta entre QRadar e SOAR.
  • Demandas de alto desempenho em QRadar ou SOAR.
  • Grandes bursts de mensagens que são processados ao mesmo tempo

Se essa condição persistir, abra um chamado de Suporte para que um analista de Suporte IBM revise seu ambiente..

O escalonamento automático de ofensas não está funcionando para domínios criados após a instalação do aplicativo QRadar SOAR Plug-in

Depois de instalar o aplicativo QRadar SOAR Plug-in, os administradores devem redefinir a conexão do aplicativo sempre que um novo domínio for criado no QRadar. Isso garante que os escalonamentos automáticos de ofensas funcionem para o domínio recém-criado.

Para redefinir a conexão do aplicativo, siga estas etapas:
  1. Na guia Administrador , na seção IBM QRadar SOAR Plugin , clique em Configuração.
  2. Na guia Status , clique em Ação, em seguida, clique em Excluir Conexão.
  3. Na guia Acesso , clique em Verificar e Configurare, em seguida, em Salvar.
Para mapear o domínio para uma organização, siga estas etapas:
  1. Na guia Mappings (Mapeamentos ), clique em Verify and configure (Verificar e configurar) e, em seguida, clique em Save (Salvar).
  2. Clique em Configuration Push.