IBM Support

QRadar: 空白の値があるリファレンス・セットをインポートすると、UBA でウォッチリストの表示に問題が発生する可能性があります

Troubleshooting


Problem

User Behavior Analytics アプリでは、ユーザーが 「UBA 概要」 タブの 「ウォッチリスト」 に表示されない場合があります。UBA ウォッチリストのリファレンス・セットに空白のユーザー名が含まれていると、ユーザーの欠落が発生する可能性があります。 ウォッチリストが空白になる管理者は、UBA リファレンス・セットのデータを確認して空白のエントリーを削除することができます。

Symptom

ウォッチリストにユーザーが表示されず、空白のウィンドウが表示されます。 この問題が発生すると、アプリ・ログに次のエラーが表示されます。
Poll.log
[sync_watchlist_membership.run] [ERROR] - Error adding members via reference set: 'NoneType' object has no attribute 'strip'

Cause

このエラーの最も一般的な原因は、ユーザーが入力の長い文字列をコピーして貼り付けるときに、空白の値が誤って追加されてしまうことです。

Resolving The Problem

このエラーが発生した場合、管理者はログインして「値」 列の空白のエントリーをリファレンス・セットから削除する必要があります。
  1. 管理者として QRadar にログインします。
  2. 「管理」タブで、「リファレンス・セット管理」アイコンをクリックします。
    image-20221019105734-1
  3. ウォッチリストで使用されるリファレンス・セットを見つけます。 この例では、使用されているリファレンス・セットは "Usernames" という名前です。
  4. リファレンス・セットをダブルクリックして、「内容」タブを開きます。
  5. 「値」 列をクリックして、空の値を昇順でフィルタリングします。
    image-20221020113948-1
  6. 空の「値」列を含む行を選択します。
  7. 「削除」 をクリックします。
  8. 「UBA」タブをクリックします。
  9. 「更新」アイコンをクリックするか、カウント・ダウンしてユーザー・インターフェースが更新されるのを待ちます。

    結果
    ウォッチリストの値がユーザーインターフェースに正しく表示されることを確認します。リファレンス・セットの「値」列から空白のエントリーを削除した後も、ウォッチリスト・インターフェースの問題が引き続き発生する場合は、 QRadar サポート  に連絡してください。

Document Location

Worldwide

[{"Type":"MASTER","Line of Business":{"code":"LOB24","label":"Security Software"},"Business Unit":{"code":"BU059","label":"IBM Software w\/o TPS"},"Product":{"code":"SSBQAC","label":"IBM Security QRadar SIEM"},"ARM Category":[{"code":"a8m0z000000cwt3AAA","label":"QRadar Apps"}],"ARM Case Number":"","Platform":[{"code":"PF025","label":"Platform Independent"}],"Version":"All Versions"}]

Document Information

Modified date:
28 December 2022

UID

ibm16839753

Page Feedback