Notas de la versión de Sentinel 7.3

Problema: El proveedor de datos del rastreador SpyEye ha interrumpido las actualizaciones de estos datos, con el argumento de que la amenaza de SpyEye parece haberse mitigado. El módulo auxiliar (plug-in) de alimentación sigue formando parte del paquete de Sentinel. Dado que el proveedor de datos ya no proporciona datos de amenazas válidos, este módulo auxiliar (plug-in) llena las listas dinámicas con datos inesperados y las reglas de correlación relacionadas no funcionan correctamente. La interfaz de usuario de Datos solo indica que los datos se procesaron correctamente, pero no que no son válidos. (ERROR 916560).

Solución: El módulo auxiliar (plug-in) del rastreador de SpyEye no provoca problemas en su servidor, pero puede ahorrar recursos del sistema si elimina tanto el módulo como los objetos de Sentinel relacionados: la lista dinámica y las reglas de correlación.

Problema: En las instalaciones actualizadas de Sentinel 7.3, cuando se buscan atributos de alerta en la tabla Sugerencias de la consola Web, la búsqueda no devuelve la lista completa de campos de alerta. Sin embargo, los campos de alerta se muestran correctamente en la tabla Sugerencias al borrar la búsqueda.(ERROR 914755)

Solución: No existe ninguna solución por el momento.

Problema: Cuando el servidor Sentinel se ejecuta en modo FIPS 140-2, no es posible lanzar el Centro de control de Sentinel ni Solution Designer en el equipo cliente mediante Java Web Start con la versión 8 de Java Runtime Environment (JRE) o una posterior. (ERROR 910452)

Solución: Asegúrese de que hace lo siguiente en el equipo cliente donde desea lanzar el Centro de control de Sentinel o Solution Designer:

Problema: La sincronización de datos falla cuando intenta sincronizar campos de dirección IPv6 en un formato legible para el ser humano con bases de datos externas. Para obtener más información acerca de cómo configurar Sentinel para llenar los campos de dirección IP en un formato de notación con punto legible para el ser humano, consulte la sección Creating a Data Synchronization Policy (Creación de una directiva de sincronización de datos) de la NetIQ Sentinel Administration Guide (Guía de administración de NetIQ Sentinel). (ERROR 913014)

Solución: Para solucionar este problema, cambie manualmente el tamaño máximo de los campos de dirección IP a al menos 46 caracteres en la base de datos de destino y vuelva a sincronizar la base de datos.

Problema: Si ejecuta una búsqueda de evento cuando no tiene seleccionado ningún filtro de seguridad para su función y dicha función no tiene permisos para ver eventos, la búsqueda no se llevará a cabo. La búsqueda no muestra ningún mensaje de error acerca de los permisos para ver eventos no válidos. (ERROR 908666)

Solución: Actualice la función con una de las opciones siguientes:

Problema: Sentinel Agent Manager ignora el valor especificado en el atributo RawDataTapFileSize del archivo SMServiceHost.exe.config para la configuración del tamaño de archivo de datos en bruto, y deja de escribir en el archivo de datos en bruto cuando su tamaño alcanza los 10 MB.(ERROR 867954)

Solución: Copie el contenido del archivo de datos en bruto en otro archivo de forma manual y bórrelo cuando su tamaño alcance los 10 MB, de modo que Sentinel Agent Manager pueda escribir datos nuevos en él.

Problema: Cuando se edita una búsqueda guardada que se actualizó de Sentinel 7.2 a una versión posterior, la página Programación no muestra el panel Campos de evento, usado para especificar campos de salida en el archivo CSV de informe de la búsqueda. (ERROR 900293)

Solución: Después de actualizar Sentinel, vuelva a crear y programar la búsqueda para ver el panel Campos de evento en la página Programación.

Problema: Sentinel no devuelve ningún evento correlacionado cuando se buscan todos los eventos correlacionados que se generaron después de implantar o habilitar la regla, haciendo clic en el icono situado junto a Número de activaciones en el panel Estadísticas de actividad de la página de resumen de correlaciones para dicha regla. (ERROR 912820)

Solución: Cambie el valor del campo Desde en la página de búsqueda de eventos por una hora anterior a la que se muestra en el campo y vuelva a hacer clic en Buscar.

Problema: En modo FIPS, Sentinel no muestra la información adjunta de cambios en Change Guardian cuando se buscan eventos de Change Guardian y se hace clic en el icono de Change Guardian, en vez de estar configurado para recibir eventos de Change Guardian. La versión 4.1.1.1 de Change Guardian, y las versiones anteriores, no permiten el envío de eventos en modo compatible con FIPS.(ERROR 912230)

Solución: No existe ninguna solución por el momento.

Problema: En la vista de alertas, el número de ocurrencias disminuye cuando se actualiza la vista de alertas.(ERROR 913838)

Solución: Haga clic en Ver detalles, junto a la alerta para la que haya disminuido el número de ocurrencias, para acceder a la página Resumen de la alerta. La página Resumen de la alerta muestra el valor correcto de Ocurrencias.

Problema: La actualización a Sentinel 7.3 provoca el fallo de la recopilación y sincronización de datos con la base de datos DB2, ya que elimina el controlador IBM DB2 JDBC.(ERROR 909343)

Solución: Después de actualizar a Sentinel 7.3, añada el controlador JDBC correcto y configúrelo para la recopilación y sincronización de datos. Siga estos pasos para hacerlo:

Problema: Cuando hace clic en Seleccionar todo en las vistas de alertas para seleccionar alertas, deselecciona algunas alertas y las modifica, las nuevas alertas entrantes también se seleccionan en las vistas de alertas actualizadas. En consecuencia, el número de alertas seleccionadas para su modificación es incorrecto y parece como si también fuese a modificar las nuevas alertas entrantes. No obstante, solo se modifican las alertas seleccionadas en un principio.(ERROR 904830)

Solución: No se mostrará ninguna alerta nueva en la vista de alertas si crea esta vista con un rango de tiempo personalizado.

Problema: Los datos históricos de inteligencia de seguridad (IS) tardan mucho en cargarse en sistemas de Sentinel que presentan una carga elevada de eventos por segundo (EPS). (ERROR 908599)

Solución: Si va a crear una consola de inteligencia de seguridad con datos históricos, planifique la implantación de la consola cuando la carga del sistema sea menor, si es posible. No existe ninguna otra solución por el momento.

Problema: Durante la regeneración de la línea de base de inteligencia de seguridad, las fechas de inicio y fin de la línea de base son incorrectas y se muestra 1/1/1970.(ERROR 912009)

Solución: Las fechas correctas se actualizan al finalizar la regeneración de la línea de base.

Problema: El servidor Sentinel se apaga al ejecutar una búsqueda si hay muchos eventos indexados en una sola partición. (ERROR 913599)

Solución: Cree directivas de retención de modo que haya al menos dos particiones abiertas en un día. El hecho de tener más de una partición abierta contribuye a reducir el número de eventos indexados en las particiones.

Problema: Se crea una alerta nueva en vez de transferirse la información de la alerta a una alerta existente. Este problema es esporádico. (ERROR 914512)

Solución: No existe ninguna solución por el momento.

Problema: Sentinel muestra un error cuando se utiliza el guion report_dev_setup.sh para configurar los puertos de Sentinel para excepciones de cortafuegos. (ERROR 914874)

Solución: Siga estos pasos para configurar los puertos de Sentinel para excepciones de cortafuegos:

Problema: El rendimiento del recopilador genérico de Sentinel se deteriora cuando se habilita el recopilador genérico de servicios de resolución de nombres de host en Microsoft Active Directory y Windows Collector. El EPS se reduce en un 50% cuando los gestores de recopiladores remotos envían eventos. (ERROR 906715)

Solución: No existe ninguna solución por el momento.

Problema: Cuando se instala Sentinel en modo FIPS, el conector para la base de datos de Inteligencia de seguridad no se inicia y Sentinel no puede acceder a los datos de Inteligencia de seguridad, Netflow y Alertas. (ERROR 915241)

Solución: Reinicie Sentinel tras la instalación y configuración en modo FIPS.

Problema: Cuando se actualiza a Sentinel 7.3 desde una instalación personalizada de Sentinel que instaló un usuario diferente a root y se configuró en modo FIPS, a veces la base de datos de Inteligencia de seguridad y la consola de alertas no se inician. (ERROR 916285)

Solución: Realice los siguientes pasos:

Problema: En las vistas de alertas, cuando hace clic en Ver detalles junto a una alerta remota y va a la página Información de alerta, los eventos activadores para dicha alerta no se muestran en el panel Datos asociados.(ERROR 916116)

Solución: Entre al servidor de origen de datos y vea la información de la alerta localmente.

Problema: En las vistas de alertas, los campos Estado y Prioridad de las alertas remotas no muestran datos si sus valores están personalizados. Puede que estos campos tampoco muestren datos en la página Información de alerta de las alertas. (ERROR 915762)

Solución: Entre al servidor de origen de datos y vea las alertas localmente.

Problema: A veces Sentinel no muestra alertas en ninguna vista de alertas si el usuario reinicia y vuelve a entrar a Sentinel.(ERROR 916133)

Solución: Efectúe estos pasos para reiniciar la base de datos de Inteligencia de seguridad:

Problema: En las instalaciones en línea de los dispositivos Sentinel actualizados, las cuentas de usuario appuser y dbauser no están disponibles. (ERROR 915197)

Solución: Realice los siguientes pasos:

Problema: SSL 3.0 presenta una vulnerabilidad que puede permitir el cálculo del texto sin cifrar en conexiones seguras. Para obtener más información, consulte el sitio CVE-2014-3566. Esta vulnerabilidad existe en la versión incluida en el conector de Syslog 2011.1r4 porque utiliza el protocolo SSL.

Solución: Este problema se ha solucionado en la versión 2011.1r5 del conector de Syslog y en las versiones posteriores. Mientras no se publique oficialmente en el sitio Web de módulos auxiliares (plug-ins) de Sentinel, puede descargar el conector en la sección de vistas previas.

Problema: La versión 2011.1r3 de Agent Manager Connector no ajusta la propiedad CONNECTION_MODE de los eventos si el recopilador que analiza los eventos admite varios modos de conexión. (ERROR 880564)

Solución: Este problema se ha solucionado en la versión 2011.1r5 de Agent Manager Connector y en las versiones posteriores. Mientras no se publique oficialmente en el sitio Web de módulos auxiliares (plug-ins) de Sentinel, puede descargar el conector en la sección de vistas previas.

Problema: Cuando se instala la aplicación Sentinel, la interfaz de red no está configurada por defecto. (ERROR 867013)

Solución: Para configurar la interfaz de red:

Problema: Cuando se exportan los resultados de la búsqueda en Sentinel, es posible que el navegador Web muestre un error si se modifican los ajustes de idioma del sistema operativo. (ERROR 834874)

Solución: Para exportar los resultados de la búsqueda correctamente, realice una de las siguientes operaciones:

Problema: Cuando se lanza la consola Web de Sentinel con las opciones de redirección de puertos o conversión de direcciones de red de destino (DNAT), esta muestra una página en blanco. (ERROR 694732)

Solución: No utilice la redirección de puertos o la conversión de direcciones de red de destino (DNAT) para lanzar la consola Web de Sentinel.

Problema: Cuando se crea o regenera una línea de base de inteligencia de seguridad, Sentinel crear la línea de base correctamente, pero muestra un mensaje de error. (ERROR 848067)

Solución: Haga caso omiso de este mensaje de error. La creación de la línea de base puede tardar varios minutos.

Problema: Si el número de días de datos que puede retener el almacenamiento secundario es inferior al número de días que retiene el almacenamiento principal, Sentinel no usa el espacio de disco del almacenamiento principal de forma eficiente. Las particiones eliminadas del almacenamiento secundario para liberar espacio también se eliminarán del almacenamiento principal. (ERROR 860888)

Solución: Asigne espacio suficiente en el almacenamiento secundario para retener los datos correspondientes al total de días que desea mantener en línea (que se puedan buscar).

Problema: En sistemas con más de 2 TB de espacio de disco, puede que Sentinel no se inicie automáticamente tras la instalación. (ERROR 846296)

Solución: De forma puntual, inicie los servicios de Sentinel manualmente con el comando siguiente:

Problema: En instalaciones de dispositivos Sentinel, si configura la autenticación Kerberos en el módulo Kerberos, la consola muestra un mensaje para confirmar que el cliente Kerberos se configuró correctamente. Sin embargo, cuando vuelve a ver el módulo Kerberos, la opción Habilitar autenticación Kerberos no está seleccionada. (ERROR 843623)

Solución: No existe ninguna solución por el momento.

Problema: Cuando se instala un gestor de recopiladores remoto, si se especifica una contraseña que contiene caracteres especiales, como $, ", \ o /, la instalación falla y se generan errores. (ERROR 812111)

Solución: No utilice caracteres especiales en la contraseña del gestor de recopiladores remoto.

Problema: Cuando se reinicia un gestor de recopiladores remoto, los orígenes de eventos Syslog conectados al puerto UDP pierden la conexión. (ERROR 795057)

Solución: No existe ninguna solución por el momento.

Problema: Mientras espera a que se abra el archivo PDF de resultado de informe, especialmente en el caso de los resultados de informe de 1 millón de eventos, el resultado no se mostrará si hace clic en otro archivo PDF de resultado de informe. (ERROR 804683)

Solución: Vuelva a hacer clic en el segundo archivo PDF de resultado de informe para ver el resultado.

Problema: Si tiene el modo FIPS habilitado en su entorno de Sentinel, la autenticación de Windows para Agent Manager provoca el fallo de la sincronización con la base de datos de Agent Manager. (ERROR 814452)

Solución: Utilice la autenticación de SQL para Agent Manager cuando tenga el modo FIPS habilitado en su entorno de Sentinel.

Problema: Si se habilita el modo FIPS, la instalación de alta disponibilidad de Sentinel muestra el error siguiente:

Solución: No existe ninguna solución por el momento. A pesar de que el instalador muestra el error, la configuración de alta disponibilidad de Sentinel funciona correctamente en el modo FIPS.

Problema: La instalación de alta disponibilidad de Sentinel en modo no FIPS se realiza correctamente, pero muestra el error siguiente dos veces:

Solución: No existe ninguna solución por el momento. A pesar de que el instalador muestra el error, la configuración de alta disponibilidad de Sentinel funciona correctamente en el modo no FIPS.

Problema: La actualización de dispositivos de versiones anteriores a Sentinel 7.2 falla porque el proveedor de los paquetes de actualización ha cambiado de Novell a NetIQ. (ERROR 780969)

Solución: Utilice el comando zypper para actualizar la aplicación. Para obtener más información, consulte la sección Upgrading the Appliance by Using zypper (Actualización del dispositivo utilizando zypper) en la NetIQ Sentinel Installation and Configuration Guide (Guía de instalación y configuración de NetIQ Sentinel).

Problema: Si especificó un carácter $ en la contraseña, Sentinel almacena la contraseña de una forma diferente en la base de datos dependiendo de dónde se coloca el $ en la contraseña. Si la contraseña empieza con el carácter especial $, Sentinel almacena la contraseña con un nombre de archivo. Si el carácter $ se encuentra en alguna parte hacia la mitad de la contraseña, Sentinel trunca la contraseña en la ubicación del carácter $. (ERROR 734500)

Solución: La contraseña real se almacena en el archivo home/novell/.pgpass. Obtenga la contraseña de este archivo y luego entre en Sentinel. Por ejemplo, si especificó la contraseña como abc$123, Sentinel almacena la contraseña como abc en el archivo .pgpass. Puede entrar en Sentinel especificando abc como contraseña.

Problema: Solution Manager no instala las reglas de correlación cuando ya existe en el sistema una regla de correlación con nombre idéntico. Se registra un error NullPointerException en la consola. (ERROR 713962)

Solución: Asegúrese de que todas las reglas de correlación tengan un nombre exclusivo.

Problema: Al ejecutar una acción de Sentinel Link desde la consola Web de Sentinel, Sentinel muestra un mensaje de acción correcta incluso cuando la prueba de integración del conector de Sentinel Link ha fallado en el Centro de control de Sentinel. (ERROR 710305)

Solución: No existe ninguna solución por el momento.

Problema: Cuando una consola de Inteligencia de seguridad y una definición de anomalía tienen nombres idénticos, se inhabilita el enlace de la consola en la página de Detalles de anomalía. (ERROR 715986)

Solución: Asegúrese de utilizar nombres exclusivos al crear consolas y definiciones de anomalías.

Problema: La consola Web de Sentinel muestra números negativos en las columnas Accedido y Duración de tareas de búsqueda activas cuando el reloj del ordenador de la consola Web de Sentinel está atrasado con respecto al reloj del servidor Sentinel. Por ejemplo, las columnas Duración y Accedido muestran números negativos cuando el reloj de la consola Web de Sentinel está fijado en la 1:30 PM y el reloj del servidor Sentinel en las 2:30 PM. (ERROR 719875)

Solución: Asegúrese de que la hora en el ordenador que utiliza para acceder a la consola Web de Sentinel sea igual o posterior a la hora del ordenador del servidor Sentinel.

Problema: Cuando entra a la consola de seguridad y realiza una búsqueda en el evento de auditoría IssueSAMLToken, el evento IssueSAMLToken muestra un nombre de host (InitiatorUserName) o una IP de origen (dirección IP) incorrectos. (ERROR 870609)

Solución: No existe ninguna solución por el momento.

Problema: El Centro de control de Sentinel no se lanza cuando se instala NetIQ Identity Manager Designer en el ordenador cliente y Designer utiliza el JRE del sistema. Designer necesita añadir algunos archivos jar de apoyo como xml-apis.jar al directorio lib/endorsed. Algunas de las clases del archivo xml-apis.jar sustituyen las clases correspondientes del JRE del sistema que utiliza el Centro de control de Sentinel. (ERROR 888085)

Solución: Configure Designer para que utilice su propio JRE.

Problema: Cuando recopila datos de eventos, Sentinel Agent Manager no captura los campos de la cadena de inserción de Windows que tienen valores nulos. (ERROR 838825)

Solución: No existe ninguna solución por el momento.