IBM Support

QRadar: Cisco AMP ログ・ソースの作成時に古いログ・ソース UI を使用すると問題が発生する

Troubleshooting


Problem

古いログ・ソース UI を使用して Cisco AMP ログ・ソースを作成して構成すると、エンドポイント API イベント・ストリームで Cisco AMP に使用されるパスワードが QRadar データベースで正しく登録または更新されません。その結果、 Cisco AMP ログ・ソースに「 ACCESS_ REFUSED 」エラーが表示されます。

Symptom

Cisco AMP ログ・ソースは、 Web UI 上で下記のエラーを出力します。
Error Message: ACCESS_REFUSED - Login was refused using authentication mechanism PLAIN. For details see the broker logfile.
Failed to establish the message queue connection.
Login refused. Ensure that the username and password are valid.
An attempt to reconnect will occur in 10 minutes
下記のメッセージは qradar.error ファイルと qradar.log ファイルにエラーが発生していることを示しています。
[ecs-ec-ingress.ecs-ec-ingress] [Thread-2866003] com.rabbitmq.jms.util.RMQJMSSecurityException: ACCESS_REFUSED - Login was refused using authentication mechanism PLAIN. For details see the broker logfile.
注 : qradar.error ファイルと qradar.log ファイルは下記のパスに配置されています。 :
/var/log

Environment

Qradar version 7.3.1

Resolving The Problem

今回の事象が発生した場合、下記のワークアラウンドを実施してください。
  1. 「ログ・ソースの削除」のリンク内にあるステップを実施して、古いログ・ソース UI で作成されたログ・ソースを削除します。
  2. 「 Cisco AMP イベント・ストリームを管理するためのログ・ソース構成」のリンク内にある内容を参照して、 Cisco AMP ログ・ソースを正しく構成するためにログ・ソース管理アプリケーションの最新バージョンを使用してログ・ソースを再作成します。
  3. 変更内容をデプロイするため、 QRadar コンソール UI にログイン後、画面左上のメニュー(Ξ)から「 管理 」タブをクリックして、画面左上の「 変更のデプロイ 」ボタンをクリックします。
  4. ログ・ソース管理アプリケーションを使用して、新規作成したログ・ソースを一旦「 Disable 」にして、再度「 Enable 」にします。
  

Document Location

Worldwide

[{"Business Unit":{"code":"BU059","label":"IBM Software w\/o TPS"},"Product":{"code":"SSBQAC","label":"IBM Security QRadar SIEM"},"ARM Category":[{"code":"a8m0z000000GnfdAAC","label":"QRadar->Events->Log Source"}],"ARM Case Number":"TS003115477","Platform":[{"code":"PF025","label":"Platform Independent"}],"Version":"All Version(s)","Line of Business":{"code":"LOB24","label":"Security Software"}}]

Document Information

Modified date:
09 October 2020

UID

ibm16222604

Page Feedback