Linux フォワーダーの一般的な問題のトラブルシューティング

以下でサポートされています。

Google SecOpsSIEM

このドキュメントでは、Google Security Operations Linux フォワーダーの使用中に発生する可能性のある一般的な問題の認識とトラブルシューティングについて説明します。

フォワーダーが起動しない

フォワーダが起動せず、ログに次のエラーが表示されて再起動ループが続く。

F0510 06:17:39.013603 202 main_linux.go:153] open /opt/chronicle/external/*.conf: no such file or directory

考えられる原因 1: 構成ファイルのマッピングが正しくない

この問題を解決するには、構成ファイルの正しいパスを渡し、外部フォルダにマッピングしていることを確認します。

考えられる原因 2: SELinux が有効になっている

フォワーダを起動せずにコンテナに移動し、次のコマンドを実行して構成ファイルを確認します。
```
docker run --name cfps --log-opt max-size=100m --log-opt   max-file=10 --net=host -v ~/configuration:/opt/chronicle/external --entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_
```
このコマンドを実行すると、コンテナ内からシェルに移動します。
次のコマンドを実行します。
```
ls -lrt /opt.chronicle/external/
```
アクセス拒否エラーが発生した場合は、フォワーダーが構成ファイルを開けないため、起動できないことを示します。

この問題を解決するには、次の操作を行います。

次のコマンドを実行して、SELinux のステータスを確認します。
```
  sestatus
```
出力で SELinux ステータスが有効になっている場合は、次のコマンドを実行して無効にします。
```
  setenforce 0
```

ログが Google Security Operations テナントに届かない

考えられる原因 1: DNS の解決

次のコマンドを実行して、ホストがアドレスを解決できないか、または Google Security Operations にアクセスできないかを確認します。

  nslookup malachiteingestion-pa.googleapis.com

コマンドが失敗した場合は、ネットワークチームに解決を依頼してください。

考えられる原因 2: ファイアウォール

次のコマンドを実行して、ローカルファイアウォールが Google Security Operations とフォワーダー間の通信をブロックしているかを確認します。

  firewall-cmd --state

ファイアウォールが有効になっている場合は、次のコマンドを実行して無効にします。

  systemctl stop firewalld

考えられる原因 3: バッファサイズ

ログで次のエラーを探して、バッファサイズの問題かどうかを確認します。

Memory ceiling (1073741824) reached, freeing a batch from the backlog

この問題を解決するには、次の操作を行います。

フォワーダー構成ファイルで圧縮を有効にします。
構成ファイルで max_memory_buffer_bytes パラメータと max_file_buffer_bytes パラメータを更新して、バッファサイズを増やします。これらのパラメータは、メモリまたはディスクに保存されるバックログバッチのバッファを示します。

フォワーダーとホストがログを受信しない

ホストとフォワーダーがログを受信しない場合は、ポートごとに次のコマンドを実行してポートのステータスを確認します。

  netstat -a | grep PORT

PORT は、確認するポート ID に置き換えます。

コマンドから出力が表示されない場合は、ホストがそのポートでリッスンしていないことを示します。この場合は、ネットワーク管理者にお問い合わせください。

コマンドの出力で、ホストがポートでリッスンしていてもフォワーダーがログを受信していない場合は、次の操作を行います。

次のコマンドを実行して Docker を停止します。
```
docker stop cfps
```
ネットワークの設定に応じて、次のいずれかのコマンドを実行します。

TCP の場合:
```
nc -l PORT
```
UDP の場合:
```
nc -l -u PORT
```
PORT は、トラブルシューティングするポート ID に置き換えます。
外部サービスを再起動して、問題が解決したかどうかを確認します。問題が解決しない場合は、Google Security Operations サポートにお問い合わせください。

フォワーダーはログを受信していないがホストはログを受信している

ホストがログを受信していて、フォワーダーが受信していない場合は、フォワーダーが構成ファイルで指定されたポートでリッスンしていないことを示します。

この問題を解決するには、次の操作を行います。

システム上で 2 つのターミナルウィンドウを開きます。1 つはフォワーダーの構成用で、もう 1 つはホストへのテストメッセージの送信用です。
1. 最初のターミナル（フォワーダー）で、次のコマンドを実行して、フォワーダーを起動せずに Docker を起動します。
```
docker run \
--name cfps \
--log-opt max-size=100m \
--log-opt max-file=10 \
--net=host \
-v ~/config:/opt/chronicle/external \
--entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_stable
```
2. フォワーダーがリッスンするポートを指定します。
```
nc -l PORT
```
  PORT は、トラブルシューティングするポート ID に置き換えます。
2 番目のターミナル（ホスト）で、次のコマンドを実行して、ポートでテストメッセージを送信します。
```
echo "test message" | nc localhost PORT
```
PORT は、トラブルシューティングするポート ID に置き換えます。

docker コマンドを再実行します。次のコマンドを実行して、フォワーダーがリッスンするポートで -p フラグを指定します。

docker run \
--detach \
–name cfps \
--restart=always \
--log-opt max-size=100m \
--log-opt max-file=10 --net=host \
—v /root/config:/opt/chronicle/external \
-p 11500:11800 \
gcr.io/chronicle-container/cf_production_stable