Résolution des problèmes de NDR
Résoudre les problèmes de NDR.
Messages d’état de NDR
Vous verrez trois états différents dans Sophos Central : rouge, jaune et vert. Un état rouge signifie que l’intégration ne fonctionne pas. Un état jaune signifie que l’intégration fonctionne, mais avec des erreurs. Un état vert signifie que l’intégration est saine et fonctionne sans problème.
État de couleur rouge
Les conteneurs NDR ne sont pas prêts, <noms de conteneurs spécifiques>.
NDR ne fonctionne pas car l’une ou plusieurs des applications ne sont pas prêtes. Ce message s'affiche souvent lorsque le conteneur dragonfly est pris dans une boucle de redémarrage parce que les instructions CPU nécessaires sont manquantes.
Pour obtenir plus de renseignements, vous pouvez utiliser la commande sudo kubectl describe pod <pod name> dans l’interface de ligne de commande et chercher les messages d’erreur à la fin de la sortie. Contactez le Support Sophos pour partager les informations que vous avez recueillies.
Échec du téléchargement vers le S3. La demande a été reçue mais un code d’erreur a été renvoyé. Code d’erreur : <Erreur de téléchargement vers S3>
Les données NDR n'ont pas pu être téléchargées vers un compartiment S3 à l'aide d'une URL pré-signée. Ce problème se produit généralement lorsque vous n'avez pas configuré votre pare-feu ou votre proxy Web pour autoriser le trafic sortant vers Internet. Ce trafic est donc bloqué. Si la modification des paramètres du pare-feu ou du proxy Web ne résout pas le problème, contactez le support technique de Sophos.
spanX : SPAN défectueux
L'appliance réseau tierce qui envoie le trafic SPAN réseau à l'appliance NDR n'est pas correctement configurée. Vous pouvez utiliser le lien problèmes de miroir/SPAN du port en haut de la page pour résoudre ce problème.
État de couleur jaune
spanX: paquets perdus
Plus de 10 % des paquets réseau sont perdus et l'appliance NDR a besoin de ressources système supplémentaires pour fonctionner correctement. L'ingestion et le traitement des paquets réseau consomment beaucoup de CPU, et si NDR n'est pas en mesure d'allouer suffisamment de cœurs de CPU pour prendre en charge ce problème, les paquets réseau seront perdus. Si vous exécutez NDR sur une machine virtuelle (VM), vous pouvez tenter de résoudre le problème en allouant davantage de cœurs de processeur à la VM. Si vous exécutez NDR sur du matériel certifié, vous pouvez configurer une autre appliance matérielle et répartir le trafic SPAN du réseau entre les deux.
Les intégrations de collecteurs de journaux tiers consomment également beaucoup de CPU lors de l'ingestion de niveaux élevés de messages syslog. Si votre appliance exécute plusieurs types d'intégrations, envisagez de les distribuer sur plusieurs appliances afin de garantir les ressources appropriées pour chaque intégration.
État de couleur verte
L’intégration NDR reçoit le trafic SPAN et traite les données par paquets réseau sans aucun problème.
Actuellement, la définition d’un port SPAN sain est qu’au moins 1 % des paquets réseau sont en monodiffusion.