kafka中没有消费到数据/告警没有打到CWPP，如何排查？

[chiselX]

kafka中没有消费到数据/告警没有打到CWPP，如何排查？

[chiselX]

Uploading CWPP 无数据排查与处理流程.pdf…

[chiselX]

告警产生流程
在排查之前，需要了解下数据/告警产生的基本流程

粗体优先查看
排查建议
根据以上流程，需要排查以下节点：

1. 机器是否正常上报日志
   1.1 登录机器，查看event/driver插件是否正常（lsmod | grep hids）
   1.2 查看systemctl status elkeid-agent状态是否正常
2. kafka是否包含原始数据：
   2.1. 如果在HUB配置了原始日志到ES的project，查看ES当中是否存在告警对应的原始数据，如果不存在，则可能数据未上报，若存在，判断3
   2.2 查看端上driver或events插件日志，是否正常上报
   2.3. 确认HUB前端日志，是否有kafka消费报错
   

2.4. kafka是否存在lag：存在情况下，可能导致告警延迟出现
2.5. 确认AC到Kafka的网络情况正常，数据正常上报到了Kafka
2.6. 如果在测试杀伤链告警，可能因为没有持续弱告警导致没有告警产生，需要持续触发
3. 查看HUB情况
3.1. 确认输入在运行的project中
3.2. 尝试对规则集，输入，输出进行采样，采样存在数据的情况，可能是输出配置存在问题
3.3. 需要确认，是否存在某个项目中的输出连接存在问题（es,kafka），生产影响反压了消费，如果有，需要删除下
4. 重启HUB
当以上流程不适用的情况，由于部分老版本HUB可能因为部分project操作，消费卡死，需要重启HUB(systemctl restart elkeid_hub)