Sentinel 7.4リリースノート

問題: コレクタマネージャまたは相関エンジンのカスタムインストール環境でconfigure.shスクリプトを実行すると、Sentinelによって次のエラーが表示される。

解決策: エラーを無視してください。環境設定は想定通りに続行されます。

問題: Sentinel高可用性(HA)では、環境設定ファイルを更新する、またはアクティブノードのSentinel Webインタフェースを変更することで、Sentinelをカスタマイズすると、その変更はパッシブノードに反映されません。手動で同期を開始する必要があります。

解決策: 環境設定ファイルを変更するときや、Sentinel Webインタフェースで行った変更のためにファイルが変更されたときには、次の手順を実行して、そのファイルまたはディレクトリを手動で同期するために追加します。

問題: Sentinel 7.3.1に組み込まれたセキュリティ脆弱性の修正により、セキュリティ保護接続のための通信メカニズムに変更が加えられました。この変更はSentinel UNIXエージェント7.4と互換性がありません。そのため、SentinelはSentinel UNIXエージェント7.4からのイベントを受け取ることができません。(BUG 953990)

解決策: 現時点で解決策はありません。この問題は、互換性のあるSentinel UNIXエージェントのバージョンが入手できるようになったときに解決されます。

問題: Sentinelアプライアンスをバージョン 7.3.1以降にした後、NFSをセカンダリストレージの場所として設定しようとすると、Sentinelがエラーを表示します。(BUG 934851)

解決策: Sentinelアプライアンスをアップグレードした後、次のコマンドを使用してSLESオペレーティングシステムを再起動します。

問題: Sentinelをバージョン7.3からバージョン7.3.1にアップグレードし、Sentinelサーバを再起動すると、以下の例外がサーバログに記録されます。

解決策: 例外を無視します。この例外によるSentinelのパフォーマンスへの影響はありません。

問題: Sentinelは、Secure Configuration Managerとの通信にDiffie-Hellmanプロトコルを使用します。Logjamの脆弱性の修正の一部として、SentinelでのDiffie-Hellmanプロトコル用証明書キーサイズが大きくされ、2048になりました。しかし、Secure Configuration Managerでは、デフォルトの証明書キーサイズ(1024)が使用されています。この不一致のため、Secure Configuration ManagerがSentinelと通信できなくなります。(BUG 935987)

解決策: Secure Configuration Managerの修正が利用できるようになるまでは、以下の手順を実行できます。

問題: Sentinelアラートビューおよびアラートダッシュボードで、IPアドレスフィールドにIPv6アドレスを使用したアラートが表示されません。(BUG 924874)

解決策: SentinelでIPv6アドレスが関係するアラートを表示するには、NetIQナリッジベース記事7016555で言及されている手順を実行してください。

問題: SentinelリンクコネクタにBar Mitzvahセキュリティ脆弱性がある。Sentinelリンクコネクタでは、SSLおよびTSLプロトコルでRC4アルゴリズムが使用されており、そのためにストリームの先頭バイトに対するプレーンテキスト回復攻撃が可能になる場合があります。詳細については、CVE-2015-2808を参照してください。(BUG 933741)

解決策: Sentinelリンクコネクタバージョン2011.1r4以降でこの問題は解決しています。SentinelプラグインWebサイトで正式にリリースされるまで、コネクタはプレビューセクションからダウンロードできます。

問題: イベントを解析するコレクタが複数の接続モードをサポートしている場合、エージェントマネージャコネクタのバージョン2011.1r3はイベントのCONNECTION_MODEプロパティを設定しません。(BUG 880564)

解決策: エージェントマネージャコネクタのバージョン2011.1r5でこの問題は解決しています。SentinelプラグインWebサイトで正式にリリースされるまで、コネクタはプレビューセクションからダウンロードできます。

問題: Sentinelエージェントマネージャは、SMServiceHost.exe.configファイルのRawDataTapFileSize属性に指定されている生データファイルサイズ構成の値を無視して、ファイルサイズが10 MBに達すると生データファイルへの書き込みを停止します。(BUG 867954)

解決策: ファイルサイズが10 MBに達したら、生データファイルの中身を別のファイルに手動でコピーしてから中身を消去すると、Sentinelエージェントマネージャが新しいデータを書き込めるようになります。

問題: Sentinel のアップグレードされたインストール環境で、Webインタフェースのヒントテーブルのアラート属性を検索すると、検索はアラートフィールドの完全なリストを返しません。しかし、検索を消去すると、ヒントテーブルにアラートフィールドが正常に表示されます。(BUG 914755)

解決策: 現時点で解決策はありません。

問題: 目視可能文字形式のIPv6アドレスフィールドを外部データベースと同期しようとするとデータ同期が失敗します。IPアドレスフィールドにドット表記の目視可能文字形式で取り込むようにSentinelを構成するには、『NetIQ Sentinel Administration Guide』の「Creating a Data Synchronization Policy」で詳細情報を参照してください。(BUG 913014)

解決策: この問題を解決するには、ターゲットデータベースでIPアドレスフィールドの最大サイズを手動で最低46文字に変更してから、データベースを再同期してください。

問題: ユーザの役割のセキュリティフィルタが空白で、イベント表示許可がない役割であると、イベント検索を実行しても検索が完了しません。検索には、無効なイベント表示許可に関するエラーメッセージは表示されません。(BUG 908666)

解決策: 以下のいずれかのオプションを使用して、役割をアップデートしてください。

問題: Sentinel 7.2から新しいバージョンにアップグレードされた保存済み検索を編集する際、検索レポートCSVの出力フィールドを指定するのに使用する［イベントフィールド］パネルがスケジュールページにありません。(BUG 900293)

解決策: Sentinelをアップグレードしたら、スケジュールページに［イベントフィールド］パネルが表示されるように、検索を再作成して再スケジュールします。

問題: ルールの相関要約ページの［アクティビティ統計情報］パネルの［起動回数］の隣にあるアイコンをクリックすることにより、ルールが展開または有効化された後に生成されたすべての相関イベントを検索しても相関イベントが返されません。(BUG 912820)

解決策: イベント検索ページの［開始］フィールドの値を、フィールドに取り込まれた時間よりも早い時間に変更してから、再び［検索］をクリックします。

問題: アラートビューで［すべて選択］をクリックしてアラートを選択し、いくつかを選択解除し、そしてアラートを変更すると、更新されたアラートビューで新着アラートも選択されています。変更するために選択したアラート数が間違っているだけでなく、新しい着信アラートも変更されているように見えてしまいます。しかし、初めに選択したアラートのみが変更されています。(BUG 904830)

解決策: カスタムの時間範囲でアラートビューを作成すると、新着アラートがアラートビューに表示されません。

問題: 毎秒あたりのイベント数(EPS)の高いロードがあるSentinelシステムに、過去のセキュリティインテリジェンス(SI)データをロードしようとすると時間がかかります。(BUG 908599)

解決策: 過去データを含むセキュリティインテリジェンスダッシュボードを作成する場合、可能であれば、システムのロードが少ないときにダッシュボードを展開するようにしてください。現時点ではほかの解決策はありません。

問題: セキュリティインテリジェンスベースラインの再生成中に、ベースラインの開始日と終了日が誤って「1/1/1970」と表示されます。(BUG 912009)

解決策: ベースラインの再生成が完了すると、正しい日付にアップデートされます。

問題: 単一のパーティションで索引付けされたイベントが多数ある場合、検索の実行中にSentinelサーバがシャットダウンします。(BUG 913599)

解決策: 1日に少なくとも2つのパーティションが開かれるように保持ポリシーを作成します。1つ以上のパーティションが開かれるようにすることで、パーティションで索引付けされたイベント数を減らすことができます。

問題: report_dev_setup.shスクリプトを使用して、ファイアウォール例外のSentinelポートを構成すると、Sentinelでエラーが発生します。(BUG 914874)

解決策: 次の手順を実行して、ファイアウォール例外のSentinelポートを構成してください。

問題: Microsoft Active DirectoryおよびWindows Collector上で汎用ホスト名解決サービスコレクタが有効である場合、Sentinel汎用コレクタパフォーマンスが低下します。リモートコレクタマネージャがイベントを送信するとEPSが50%減少します。(BUG 906715)

解決策: 現時点で解決策はありません。

問題: FIPS 140-2モードでSentinelをインストールすると、セキュリティインテリジェンスデータベースへのコネクタが開始されないため、Sentinelはセキュリティインテリジェンス、Netflow、およびアラートデータにアクセスできません。(BUG 915241)

解決策: FIPS 140-2モードでインストールと構成をしたら、Sentinelを再起動してください。

問題: 非rootユーザによってインストールされ、FIPS 140-2モードで構成された、Sentinelのカスタムインストールから、Sentinelをアップグレードすると、セキュリティインテリジェンスデータベースおよびアラートダッシュボードが起動しない場合があります。(BUG 916285)

解決策: 次の手順を実行します。

問題: Sentinelアプライアンスのインストール時にネットワークインタフェースがデフォルトで構成されません。(BUG 867013)

解決策: ネットワークインタフェースを構成するには、次のようにします。

問題: オペレーティングシステムの言語設定が変更されていると、Sentinelで検索結果をエクスポートするときにWebブラウザがエラーを表示することがあります。(BUG 834874)

解決策: 検索結果を適切にエクスポートするには、次のいずれかを行ってください。

問題: ディスク容量が2TBを超えるシステムで、Sentinelがインストール後に自動で起動しないことがあります。(BUG 846296)

解決策: ワンタイムアクティビティとして、次のコマンドを指定し、Sentinelサービスを手動で開始してください。

問題: Sentinelアプライアンスのインストールで、KerberosモジュールにKerberos認証を設定すると、Kerberosクライアントの環境設定が成功したという確認メッセージがコンソールに表示されます。しかし、Kerberosモジュールを再度表示すると、［Enable Kerberos Authentication］の選択が解除されています。(BUG 843623)

解決策: 現時点で解決策はありません。

問題: 1つのレポート結果のPDF (特に、100万イベントの特定のレポート結果の場合)が開くのを待っている間に、別のレポート結果のPDFをクリックしても表示されません。(BUG 804683)

解決策: 2番目のレポート結果のPDFをもう一度クリックすると、レポート結果が表示されます。

問題: Sentinel環境でFIPS 140-2モードが有効になっていると、エージェントマネージャにWindows認証を使用したときに、エージェントマネージャデータベースとの同期が失敗します。(BUG 814452)

解決策: ご使用のSentinel環境でFIPS 140-2モードが有効になっている場合は、エージェントマネージャにSQL認証を使用してください。

問題: FIPS 140-2モードが有効である場合、Sentinel高可用性インストールを実行すると、次のエラーが表示されます。

解決策: 現時点で利用可能な修正または解決策はありません。インストーラはエラーを表示しますが、Sentinel高可用性の環境設定はFIPS 140-2モードで正常に動作します。

問題: 非FIPS 140-2モードでSentinel高可用性インストールを実行すると、正常に完了しますが、次のエラーが2回表示されます。

解決策: 現時点で利用可能な修正または解決策はありません。インストーラはエラーを表示しますが、Sentinel高可用性環境設定は非FIPS 140-2モードで正常に動作します。

問題: アップグレードパッケージのベンダがNovellからNetIQに変更されたため、Sentinel 7.2よりも前のバージョンからのアプライアンスのアップデートが失敗します。(BUG 780969)

解決策: アプライアンスのアップグレードにはzypperコマンドを使用してください。詳細については、『NetIQ Sentinelインストールと設定ガイド』の「zypperを使用したアプライアンスのアップグレード」を参照してください。

問題: 同じ名前の相関ルールがすでにシステムに存在する場合、ソリューションマネージャで相関ルールがインストールされない。NullPointerExceptionエラーがコンソールのログに記録されます。(BUG 713962)

解決策: すべての相関ルールに固有の名前を付けるようにしてください。

問題: WebインタフェースからSentinelリンクアクションを実行すると、Sentinelコントロールセンターから実行したSentinelリンクコネクタのインテグレータテストが失敗しても、Sentinelに成功メッセージが表示される。(BUG 710305)

解決策: 現時点で解決策はありません。

問題: セキュリティインテリジェンスダッシュボードとアノマリー定義に同じ名前が付いていると、［アノマリーの詳細］ページでダッシュボードリンクが無効になります。(BUG 715986)

解決策: ダッシュボードとアノマリー定義を作成するときは、固有の名前を使用してください。

問題: Sentinel WebインタフェースのコンピュータのクロックがSentinelサーバのクロックより遅れていると、Sentinel Webインタフェースで［アクティブな検索ジョブ］の［期間］と［アクセス］列に負の数字が表示される。たとえば、Sentinel Webインタフェースのクロックが1:30PMに設定され、Sentinelサーバのクロックが2:30 PMに設定されていると、［期間］と［アクセス］の列に負の数字が表示されます。(BUG 719875)

解決策: Sentinel Webインタフェースのアクセスに使用するコンピュータの時間が、Sentinelサーバコンピュータの時間と同じ、またはSentinelサーバコンピュータの時間より進んでいることを確認してください。

問題: セキュリティダッシュボードにログインし、IssueSAMLToken監査イベントの検索を実行すると、IssueSAMLToken監査イベントが間違ったホスト名(InitiatorUserName)または(IPアドレス) SourceIPを表示します。(BUG 870609)

解決策: 現時点で解決策はありません。

問題: イベントデータの収集中、SentinelエージェントマネージャはNULL値のWindows挿入文字列フィールドをキャプチャしません。(BUG 838825)

解決策: 現時点で解決策はありません。