Типовые симптомы
Таблица. Неисправности запуска и захвата
| Симптом | Что проверить | Действие |
|---|---|---|
Служба не запускается | journalctl, JSON, права, лицензия, IPC | Исправьте первую предметную ошибку; после изменения повторите запуск и контроль. |
Нет пакетов | SPAN/TAP, физический порт, MAC и enabled | Сопоставьте порт с networkAdapters; проверьте счётчики ОС и ethcap.log. |
Пакеты есть, событий нет | BPF, парсер, L1–L3, лицензия, tcpLimits | Найдите самый ранний этап отбрасывания; используйте известный протокол и контрольную запись. |
Часть сессий неполная | Односторонний поток, потери, дубликаты | Проверьте зеркало обоих направлений и статистику адаптера. |
Растёт resource_exceeding | Количество сессий и ограничения | Проверьте память и нагрузку до повышения порогов. |
DPDK не видит порт | Пакет, драйвер, привязка, hugepages | Проверьте подготовку окружения и DPDK-записи ethcap.log. |
После правки ничего не изменилось | Журнал чтения и матрица применения | Проверьте, не отклонён ли файл и не требуется ли restart. |
Таблица. Неисправности PCAP ICAP и анализа
| Симптом | Что проверить | Действие |
|---|---|---|
PCAP оказался в processed без событий | pcap.log и формат | Найдите Error opening a pcap file; проверьте полноту файла и фильтр. |
PCAP не подхватывается | Каталог, enabled, права, вложенность | Файл должен лежать непосредственно в capdrop; проверьте id адаптера. |
ICAP не отвечает | Слушатель, firewall, clients.rules | Проверьте OPTIONS и фактический адрес клиента. |
ICAP отвечает 403 | Лимит соединений и REFUSE | Сопоставьте общий предел и ограничения IP; проверьте число соединений прокси. |
ICAP отвечает 413 | Размер запроса и формат | Различайте превышение max_request_size и протокольную ошибку. |
ICAP отвечает 500 или 507 | Кэш, права и диск | Проверьте создание и чтение временных файлов синхронного ответа. |
Объект усечён | error_collect и лимиты размера | Проверьте memory/disk пороги; сопоставьте с полнотой исходного трафика. |
Нет TLS или LDAP находок | Правило включено, позиция, параметры | Проверьте ограничения позиции L2 и наличие доступных полей протокола. |
Нет SMB или DCSync находок | Списки доверенных узлов | Пустой список не означает проверку всех узлов; заполните его и повторите тест. |
Таблица. Неисправности обогащения и доставки
| Симптом | Что проверить | Действие |
|---|---|---|
Нет имени пользователя | authFeeds, скрипт и время события | Проверьте поступление и разбор записи аутентификации для того же IP. |
Нет IoC-совпадения | Загрузка, TTL, тип атрибута, точное значение | Проверьте цепочку secFeeds → iocAttributes → контрольное значение. |
Находка есть локально, но нет у получателя | IPC subchannels и канал профиля | Объявите нужный подканал и перезапустите группу; проверьте профиль. |
Профиль включён, отправок нет | Назначение из L3 или channel_name | Для обычного события проверьте маршрут и последующие DROP-правила. |
Событие приходит обрезанным | UDP и длина сообщения | Для Syslog учитывайте предел 1472 байта; согласуйте TCP или TLS. |
Приёмник не разбирает находку | Формат JSON и фрейминг | Не направляйте threat JSON в обработчик CEF без соответствующей настройки. |
Kafka не подключается | Адреса брокеров, TLS, ключ и listener | Проверьте возвращаемые кластером адреса; SASL-параметров у профиля нет. |
Filedrop перестал писать | quota, место, inode и права | Сопоставьте квоту профиля с объёмом каталога и состоянием файловой системы. |
Журналы не обновляются | watcher и logRules | Проверьте читателей канала, путь назначения и свободное место. |
Эта страница была полезна?
Спасибо за отзыв!
Спасибо, мы учтём это для улучшения документации.