Fehlerbehebung bei Erkennungsregeln

Unterstützt in:

Laufzeitfehler können während der Regelausführung auftreten und verhindern, dass eine Regel erfolgreich ausgeführt wird. In diesem Dokument finden Sie Informationen zur Behebung einiger häufiger Laufzeitprobleme.

  • Sie können Laufzeitfehler vermeiden, indem Sie Ihre Regeln vor der Bereitstellung testen. Klicken Sie im Regeleditor auf Test ausführen. Wenn ein Fehler erkannt wird, folgen Sie dem Fehlerlink, um Details aufzurufen.

  • Wenn während der Regelausführung ein Fehler auftritt, folgen Sie dem Fehlerlink auf der Seite Erkennungen, um weitere Informationen zu erhalten.

Abfragesyntax und Logikfehler

Diese Fehler treten auf, wenn die Abfragestruktur ungültig oder zu komplex ist oder inkompatible Datentypen verwendet werden.

Fehlermeldung Grundursache Lösung
Too many `OR` and `AND` operations Die Abfrage enthält tief verschachtelte Ausdrücke oder Logik, die die Stack-Speicherlimits überschreiten.

Vereinfachen Sie die Bedingungen der Regel.

Teilen Sie komplexe Logik in kleinere Teile auf.
Query is too long Die Abfrage erfordert zu viel Stack-Speicherplatz für die Verarbeitung. Teilen Sie die Logik in mehrere Regeln auf.
Accessing a new field that did not exist for this time range Die Regel verweist auf ein Feld, das dem Schema vor Kurzem hinzugefügt wurde, wird aber für einen Zeitraum ausgeführt, in dem dieses Feld nicht vorhanden war.

Passen Sie den Zeitraum so an, dass er nach dem Vorhandensein des Felds beginnt.

Ändern Sie die Regel, um Fälle zu berücksichtigen, in denen das Feld null ist oder fehlt.
Invalid subnet CIDR Bei einigen Funktionen wurde ein nicht parsbare CIDR-Bereich (Classless Inter-Domain Routing) erkannt Prüfen Sie das Format der CIDR-Bereiche in der Regel.
Invalid IP address Bei einigen Funktionen wurde eine fehlerhafte IP-Adresse erkannt. Der Feldwert muss ein gültiges IP-Adressformat enthalten
Map access for reading label does not support duplicate map keys Einige Funktionen haben versucht, auf Elemente aus einer kartenähnlichen Struktur (z. B. zusätzliche Felder) zuzugreifen, in der doppelte Schlüssel vorhanden sind (im Vorgang nicht zulässig).

Suchen Sie in der Datenquelle nach doppelten Schlüsseln.

Passen Sie die Regellogik an, um dieses Datenmerkmal zu berücksichtigen.
Invalid regular expression Der in Funktionen wie re.regex() verwendete reguläre Ausdruck ist fehlerhaft.

Korrigieren Sie die Syntax des regulären Ausdrucks.
Invalid re.replace() Falsche Verwendung von re.regex(), oft aufgrund einer Diskrepanz zwischen Teilausdrücken in Klammern und Verweisen im Ersetzungsstring. Achten Sie darauf, dass das Schema für die Neuschreibung in re.regex() mit den Unterausdrücken in Klammern im regulären Ausdruck übereinstimmt.
Integer overflow in sum() aggregation Die Summe der Werte überschreitet das Limit für Standard-Ganzzahlen. Wandeln Sie das Feld vor dem Summieren in einen Gleitkommatyp um (z. B. mit sum(0.0 + $e.field)).
Cannot complete [arithmetic/mod] operation between unsigned and signed integer Die Regel versucht, arithmetische (+, -, *) oder Modulo-Vorgänge (%) zwischen verschiedenen Ganzzahltypen auszuführen.

Verwenden Sie cast.as_int() oder cast.as_uint(), um einen Operanden so zu konvertieren, dass er mit dem anderen übereinstimmt. Für den Modulo-Operator (%), der nur Ganzzahlen akzeptiert, ist eine explizite Umwandlung erforderlich. Bei +-, -- oder *-Vorgängen können Sie die Ganzzahlkonstante auch dazu zwingen, sich wie eine Gleitkommazahl zu verhalten. Verwenden Sie dazu ein Gleitkommaliteral wie 2.0 oder 100.0 oder eine implizite Division wie (2/1) in Ausdrücken ohne andere /-Operatoren in derselben Zeile.

Diese Typisierungseinschränkung tritt auf, wenn in einem Ausdruck Literale mit Vorzeichen (INT64) mit UDM-Feldern (Unified Data Model) ohne Vorzeichen (UINT64) kombiniert werden, z. B. network.received_bytes, network.sent_bytes und principal.file.size. Die Einschränkung gilt sowohl für den Abschnitt events als auch für den Abschnitt outcome, einschließlich innerhalb von sum()- oder max()-Aggregationen. Eine Regel mit gemischter Arithmetik mit vorzeichenbehafteten und vorzeichenlosen Ganzzahlen kann ohne Syntaxfehler gespeichert werden und schlägt nur zur Laufzeit oder beim Testen der Regel fehl. Weitere Informationen finden Sie unter Arithmetische Operationen mit vorzeichenlosen Ereignisfeldern.

Ressourcenlimits und Leistungsfehler

Diese Fehler weisen darauf hin, dass die Abfrage zu komplex ist, um vom System verarbeitet zu werden.

Fehlermeldung Grundursache Lösung
Request was throttled, please try again later Die Regel erfordert mehr Arbeitsspeicher oder Rechenleistung als zugewiesen (häufig aufgrund komplexer Joins, großer Aggregationen oder unzureichender Filterung). Fügen Sie dem Abschnitt „Ereignisse“ spezifischere Filter hinzu.
Not enough memory for aggregation aggregate_memory_limit wurde überschritten. Optimieren Sie Aggregationen, indem Sie die Anzahl der Schlüssel im Abschnitt „match“ reduzieren.
Spilled bytes exceed limit Die Abfrage versucht, zu viele Ereignisse zu verarbeiten. Optimieren Sie die Abfrage, indem Sie Filter hinzufügen, z. B. nach metadata.log_type.
Your query resource usage is exceeding its allocation Die Abfrage wurde vom Ressourcenmanager abgebrochen, weil sie zu viele Ressourcen beansprucht hat. Optimieren Sie die Abfrage, indem Sie Filter hinzufügen, z. B. nach metadata.log_type.

Datenzugriff und Systemfehler

Diese Fehler sind oft vorübergehend oder hängen mit dem Backend-Datenspeicher zusammen.

Fehlermeldung Grundursache Lösung
Error reading files Vorübergehende Probleme beim Zugriff auf die zugrunde liegenden Daten. Versuchen Sie es später noch einmal. Wenn der Fehler weiterhin auftritt, wenden Sie sich an den Support.
Error reading database Vorübergehende Probleme beim Zugriff auf die zugrunde liegenden Daten. Versuchen Sie es später noch einmal. Wenn der Fehler weiterhin auftritt, wenden Sie sich an den Support.
Internal error Ein vorübergehendes Problem im System. Versuchen Sie es später noch einmal. Wenn der Fehler weiterhin auftritt, wenden Sie sich an den Support.
Unknown error Eine Standardfehlermeldung, wenn kein bestimmter interner Fehlercode definiert ist. Versuchen Sie es später noch einmal. Wenn der Fehler weiterhin auftritt, wenden Sie sich an den Support.
Request was throttled, please try again later Das System ist stark ausgelastet. Versuchen Sie es später noch einmal.

Unbekannte Laufzeitfehler

Möglicherweise treten unbekannte Laufzeitfehler ohne Beschreibung auf. Wenden Sie sich in diesem Fall an den Google SecOps-Support.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten