H3C SecCenter CSAP-SA综合日志审计平台

故障处理手册

资料版本：5W104-20230711

非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。

除新华三技术有限公司的商标外，本手册中出现的其它公司的商标、产品标识及商品名称，由各自权利人拥有。

本文档中的信息可能变动，恕不另行通知。

3.1 查看到日志源的统计信息，页面展示无数据·· 3

3.1.1 问题描述·· 3

3.1.2 处理步骤·· 4

3.2 采集器有对应日志源的日志统计数据，但查看日志页面无日志。·· 5

6.1 在服务器后台修改系统时间后数据无法接入·· 8

6.1.1 问题描述·· 8

6.1.2 处理步骤·· 8

7 IP地址修改·· 9

7.1 在服务器后台修改系统IP地址后平台无法访问·· 9

1 安装部署问题

1.1 部署过程中断

1.1.1 问题描述

虚拟综合日志审计平台部署过程中出现如下异常退出。

1.1.2 处理步骤

该问题是因为部署平台的服务器或虚拟机资源不满足最低需求，对服务器或虚拟机的配置要求请参见《H3C SecCenter CSAP-SA综合日志审计平台软件安装指导》。其他同类报错和说明如下：

· Cpu_Core_Num_Is_less_than_8：CPU核数少于八核

· Memory_Is_less_than_32G：内存大小小于32GB

· Cannot_Find_Available_Disk：磁盘大小不满足需求，找不到一个大于1TB磁盘用于部署，请确认问题并扩展资源后重新部署。

· eth0_IS_NOT_CONNECTED：业务口未接入网线或网卡异常，请确认问题并修复后重新部署。

1.2 平台部署后不可用

1.2.1 问题描述

平台部署过程卡死或者部署后平台不可用，即Web无法访问并且SSH连接不了。

1.2.2 处理步骤

问题可能原因是因为部署平台的主机磁盘上存在异常数据，平台仅支持在未使用过的磁盘上进行部署，若旧磁盘中存在文件系统或Raid配置会导致平台部署异常。部署过程请严格按《H3C SecCenter CSAP-SA综合日志审计平台安装指导》操作。

如排除以上原因后重新部署仍然报错，请拨打400-810-0504请求支持。

2 页面无法登录

2.1 问题描述

通过浏览器访问页面报错或登录报错。

2.2 处理步骤

(1) 检查网络是否可达。

可在当前主机通过ping命令测试网络是否可达，如不可达或丢包严重，请检查网络。如日志审计平台地址为10.123.53.234，启动windows cmd窗口执行ping 10.123.53.234检测网络是否通畅。

(2) 使用df –h命令检查磁盘空间是否充足。

检查磁盘根目录已无可用空间，Use字段显示100%表示空间已全部被使用，则平台中可能存在异常数据。

可通过以下操作释放存储空间：

a. 通过SSH方式登录综合日志审计平台服务器后台，执行rm –rf /data/ckla/log/error*命令清除组件异常打印的日志文件。

建议操作时直接拷贝本命令，避免误操作导致整个平台系统被删除且无法恢复。

b. 执行rm –rf /data/Adapter/core*命令清除组件异常打印的日志文件。

建议操作时直接拷贝本命令，避免误操作导致整个平台系统被删除且无法恢复。

c. 执行df –h命令查看文件系统空间是否已释放，存储利用率不再是100%；

d. 空间释放后，重启服务器或虚拟机。其中服务器重启请登录HDM后台，左上角点击“电源-立即重启”重启服务器。虚拟机重启请登录CAS后台，左侧展开云资源列表并选择对应虚拟机，点击“关闭”，待进度栏提示100%后，再点击“启动”即可重启虚拟机。

(3) 如以上操作均无法解决，请进入后台执行sh /home/csap_install_package/lca_start.sh web restart命令重启web服务。

3 日志采集问题

3.1 查看到日志源的统计信息，页面展示无数据

3.1.1 问题描述

采集器收不到日志。进入“系统配置 > 数据来源> 采集器管理”页面，点击按钮进入监控汇总页面可查看采集器的统计信息，采集器收集到的日志数量为0。

3.1.2 处理步骤

1. 检查登录平台的PC系统时间是否准确。如不准确，请手动校对系统时间。

2. 进入“配置 > 系统管理 > 全局设置 > 时间管理”页面确认平台系统时间是否准确。如不准确，请修改系统时间。

3. 查看采集器状态

(1) 进入“系统配置 > 数据来源> 采集器管理”页面查看采集器状态是否为在线状态。

(2) 如果采集器状态为离线，登录服务器后台执行sh /home/csap_install_package/lca_start.sh all restart命令重启相应采集器。

(3) 如重启后仍为离线状态，可联系H3C驻本地技术人员协助定位。

4. 采集器正常并且日志源添加成功仍接收不到日志。

(1) 检测日志源是否配置“例外”。“例外”表示丢弃该类型日志。

(2) 检查被动采集器的统计数据，有没有收到日志的统计。

(3) 发送设备系统时间和平台时间是否准确。

(4) 检查日志源的配置，日志源发送日志所使用的接口IP地址。针对我司设备，推荐在设备上通过info-center loghost source命令用来配置发送的日志信息的源IP地址。

(5) 配置没问题的话，日志统计也看不到日志统计，登录平台后台tcpdump抓包（tcpdump -v -i网卡名称src源ip and udp port 514）确认日志报文是否已发送到平台，是否被中间链路丢弃。

3.2 采集器有对应日志源的日志统计数据，但查看日志页面无日志。

3.2.1 问题描述

采集器有对应日志源上报的日志数量，但查看日志页面无日志。

3.2.2 处理步骤

(1) 检查登录平台的PC系统时间是否准确。如不准确，请校对PC系统时间。

(2) 检查平台系统时间。进入“配置 > 系统管理 > 全局设置 > 时间管理”页面确认平台系统时间是否准确。如不准确，请修改系统时间。

(3) 检查日志源设备的系统时间是否准备。如不准确，请修改设备系统时间。

(4) 检查日志源发送的日志中时间戳字段表示的时间是否准确。可以通过登录平台后台，使用tcpdump抓包（tcpdump -v -i网卡名称src源ip and udp port 514）确认；也可以通过修改日志源设备上的日志发送配置，将日志发送到现场电脑进行抓包确认。如果日志源发送的日志时间戳字段不准确，请调整确保日志时间戳字段与日志源设备系统时间一致。