[これは、Recorded Future App for Splunk Enterpriseのv4.0.x用です]

トラブルシューティング

アプリには、トラブルシューティングに役立つレポートが多数あります。

レポート名	目的
アプリからのすべてのログ	このレポートは、アプリによって生成されたすべてのログを 1 つのビューに収集します。
すべてのリスクリストの最新情報	このレポートには、リスクリストが最後に更新されたすべてのタイムスタンプが一覧表示されます。
アプリのデプロイを検証する	このレポートには、レポートの実行時に実行される多数のテストとルックアップの結果が表示されます。

レポートの使用方法

アプリからのすべてのログ

レポートには、アプリによって作成されたすべてのイベントが一覧表示されます。 ログレベルは、[Logging] ペインの [Configuration] -> [Global configuration] で調整できます。 デフォルトはINFOですが、トラブルシューティングを行う場合は、レベルをDEBUGに上げるのが適切な場合があります。

良い出発点は、エラーを探すことです (loglevel ERROR)。 検索を容易にするために、検索ビューでレポートを開くことができます([編集]ボタンから[検索で開く]を選択します)。

すべてのリスクリストの最新情報

このレポートには、Recorded Futureから正常に取得されたすべてのリスクリストが一覧表示されます。 リストがビューにない場合は、過去 24 時間に更新されていないことを意味します。

検索期間を延長する必要がある場合は、検索でレポートを開きます。

リスクリストの更新頻度は、Recorded Futureのシステムで再生成される頻度によって異なります。 Recorded Future によって事前設定されたデフォルトのリスクリストは、次の 2 つの異なる間隔で更新されます。

• IP、ドメイン、URLのリスクリストは毎時更新されます
• ハッシュと脆弱性のリスクリストは毎日更新されます

リスクリストがビューにない場合は、Fusion APIで見つけることができるかどうかを確認する必要があります。 以下の「Fusion ファイルのトラブルシューティング」を参照してください。

アプリのデプロイを検証する

このレポートは、アプリの展開後に確認して、構成が機能することを確認する必要があります。

組み込みのバリデーターは、多数のテストを実行し、有用なトラブルシューティング情報を収集します。 通常は、Ok または NA のステータスのみが表示されます。 警告またはエラーを調査すると、トラブルシューティングに役立つ提案が表示されます。

その他のトラブルシューティングのヒント

Fusion ファイルのトラブルシューティング

Fusionファイルは、アプリのリスクリストとして使用されます。 設定されたリスクリストの取得に失敗した場合、これにはさまざまな理由が考えられます。

1. すべてのリスクリストの更新に失敗した場合は、ネットワーク接続または使用されている API キーに問題がある可能性があります。 "アプリの展開の検証" レポートを実行します。
2. Fusionファイルが存在しないか、スペルが間違っている可能性があります。 これは、次の検索を実行することで確認できます。index=_* sourcetype="tarecordedfuture:cyber:log" ERROR 404 "File or directory" path=*
   1. FusionファイルパスのURLエンコードバージョンであるパスフィールドを見てください(例/home/custom.csv:)。%2Fhome%2Fcustom.cvsこれがFusionファイルに対応していることを確認します。
   2. アプリで使用されるAPIキーが、Recorded Futureのシステム内の正しい企業に属していることを確認します。 パブリックFusionファイル(/public/で始まるパス)を除き、Fusionファイルはありません。 エンタープライズの外部で使用できます。
   3. Fusionファイルの生成を担当するFusion Flowが正常に実行されたことを確認します。

さらにヘルプ

Recorded Future Intelligence Servicesのコンサルタントが、追加の質問やアドバイスを喜んでお手伝いします。 それが誰であるかわからない場合は、[ email protected]に連絡することもできます。

「Recorded Future for Splunk Enterprise」についてSplunkサポートに問い合わせないでください。