インストールと設定:トラブルシューティング

[これは、Recorded Future App for Splunk Enterpriseのv4.0.x用です]

トラブルシューティング

アプリには、トラブルシューティングに役立つレポートが多数あります。

レポート名 目的
アプリからのすべてのログ このレポートは、アプリによって生成されたすべてのログを 1 つのビューに収集します。
すべてのリスクリストの最新情報 このレポートには、リスクリストが最後に更新されたすべてのタイムスタンプが一覧表示されます。
アプリのデプロイを検証する This report displays the result of a number of tests and lookups that is performed when the report is run.

How to use the reports

All logs from the App

The report lists all the events created by the app. The loglevel can adjusted in Configuration -> Global configuration under the Logging pane. Default is INFO but when troubleshooting it may be apropriate to increase the level to DEBUG.

A good starting place is to look for errors (loglevel ERROR). To facilitate searching it's possible to open the report in the search view (select "Open in Search" via the "Edit" button).

Latest updates of all risklists

This report lists all the risklists that have been retrieved successfully from Recorded Future. If a list is missing from the view this means that it has not been updated during the last 24 hours.

If it is necessary to expand the search period this can be done by opening the report in Search.

The update frequency of a risk list depends on how often it is regenerated on Recorded Future's system. The default risklists pre-configured by Recorded Future are updated at two different intervals:

  • IP、ドメイン、URLのリスクリストは毎時更新されます
  • ハッシュと脆弱性のリスクリストは毎日更新されます

リスクリストがビューにない場合は、Fusion APIで見つけることができるかどうかを確認する必要があります。 以下の「Fusion ファイルのトラブルシューティング」を参照してください。

Validate app deployment

This report should be reviewed after app deployment to verify that the configuration works.

Validate app deployment report

The built-in validator perform a number of tests and collect useful troubleshooting information. Normally only statuses of Ok or NA should be present. Investigate any Warning or Error, these will have useful suggestions for troubleshooting.

Other troubleshooting tips

Troubleshooting Fusion Files

Fusion files are used as risklists in the app. If a configured risklist fails to be retrieved this can be due to a number of reasons.

  1. If all risklists fail to update there's most likely an issue with network connectivity or the api key used. Run the "Validate app deployment" report.
  2. Fusionファイルが存在しないか、スペルが間違っている可能性があります。 これは、次の検索を実行することで確認できます。index=_* sourcetype="tarecordedfuture:cyber:log" ERROR 404 "File or directory" path=*
    1. FusionファイルパスのURLエンコードバージョンであるパスフィールドを見てください(例/home/custom.csv:)。%2Fhome%2Fcustom.cvsこれがFusionファイルに対応していることを確認します。
    2. Ensure that the api key used by the app belongs to the correct enterprise in Recorded Future's system. With the exception of public Fusion files (paths starting with /public/) no Fusion files. are available outside of the Enterprise.
    3. Ensure that the Fusion Flow responsible for generating the Fusion file was successfully executed.

Further help

Your Recorded Future Intelligence Services consultant would be happy to help you with additional questions and advice.  If you do not know who that is, you can also contact support@recordedfuture.com.

「Recorded Future for Splunk Enterprise」についてSplunkサポートに問い合わせないでください。