Sentinel 7.3.2-Versionshinweise

November 2015

Sentinel 7.3.2 verbessert die Bedienbarkeit und behebt verschiedene Probleme aus früheren Versionen.

Viele der eingeführten Verbesserungen sind Umsetzungen von Vorschlägen unserer Kunden. Wir möchten uns auf diesem Wege bei Ihnen für Ihr wertvolles Feedback bedanken. Wir hoffen, Sie unterstützen uns weiterhin dabei, unsere Produkte optimal an Ihre Bedürfnisse anzupassen. Senden Sie uns Ihr Feedback als Beitrag im Sentinel-Forum in NetIQ Communities, unserer Online-Community. Hier finden Sie auch Produktinformationen, Blogs und Links zu weiteren nützlichen Ressourcen.

Die Dokumentation für dieses Produkt steht auf der NetIQ-Website im HTML- und PDF-Format zur Verfügung. Für den Zugriff auf diese Dokumentationsseite ist keine Anmeldung erforderlich. Wenn Sie uns einen Verbesserungsvorschlag in Bezug auf die Dokumentation mitteilen möchten, nutzen Sie die Schaltfläche comment on this topic (Kommentar zum Thema abgeben), die Sie unten auf jeder Seite der HTML-Version unserer auf der Sentinel NetIQ-Dokumentationswebseite veröffentlichten Dokumentation finden. Dieses Produkt steht auf der Website der Sentinel-Produktaufrüstung zum Herunterladen bereit.

1.0 Softwarekorrekturen
1.1 Beim Wählen von „Auslöser anzeigen“ für ein Korrelationsereignis im Sentinel Control Center wird in der Sentinel-Weboberfläche eine Ausnahme angezeigt
1.2 Bei einer großen Anzahl Benutzeridentitäten reagiert die Sentinel-Weboberfläche nicht mehr
1.3 Zertifikat des Sentinel-Proxyservers wird überschrieben, wenn von einem anderen Sentinel-Server auf Sentinel Control Center zugegriffen wird
1.4 Problem bei der Synchronisierung zwischen Sentinel und Sentinel Agent Manager
1.5 Sentinel generiert keine auf Zusammenfassungen basierenden Berichte
1.6 Fehler eim Verarbeiten und Speichern von Ereignisdaten
1.7 Einige Elemente der Sentinel-Weboberfläche werden nicht richtig angezeigt, wenn als Browsersprache nicht Englisch festgelegt ist
1.8 Sentinel zeigt eine Fehlermeldung beim Abmelden
1.9 Zeichenkettenelemente können nicht aus dynamischen Listen gelöscht werden
1.10 Suchergebnisse sind für geplante Suchen in bestimmten Zeitbereichen unvollständig
1.11 Geplante Berichtaufträge für Berichte, die über die Schaltfläche „Bericht erstellen“ erstellt wurden, können nicht bearbeitet werden
1.12 Korrelationsregeln unterstützen keine Ereignisfeldnahmen, die Unterstriche enthalten
1.13 Sentinel überschreibt bei der Aufrüstung die benutzerdefinierten Konfigurationswerte in der Datei „server.conf“
1.14 Nach der Aufrüstung auf Version 7.3.1 startet Sentinel aufgrund komplexer Korrelationsregeln nicht
1.15 Sentinel-Server wird während Suchvorgängen, die sich auf viele Tage beziehen, heruntergefahren
1.16 Problem bei der Datensynchronisierung zwischen der Sentinel- und der Oracle-Datenbank bei ungültiger Ereigniszeit
1.17 Berichtgenerierungsprozess wird beendet, wenn die Leerlauf-Zeitüberschreitungsgrenze überschritten wird
1.18 Fehler bei der Berichtgenerierung, wenn die Berichtabfrage die Zeichenkette 'Over' enthält
1.19 Sentinel protokolliert eine Warnmeldung, wenn Korrelationsregeln, die auf einer Zuordnung beruhen, auf einer Remote Correlation Engine bereitgestellt werden
1.20 Fehler bei verfeinerter Ereignissuche nach der Aufrüstung auf Sentinel 7.3.1
1.21 Zuordnungen, die mithilfe von Ereignisfeldzuordnungen erstellt wurden, funktionieren nach der Aufrüstung auf Sentinel 7.3.1 nicht mehr
1.22 Solution Designer zeigt Null-Zeiger-Ausnahme an, wenn Sie Korrelationsregeln aus der Inhaltspalette auswählen
1.23 Personensuche bietet keine Unterstützung für Polnisch
1.24 Sentinel zeigt nach der Aufrüstung auf Sentinel 7.3.1 keine Elemente in dynamischen Listen an
1.25 Inkonsistente Leerzeichen in der Sentinel-Weboberfläche
2.0 Systemanforderungen
3.0 Aufrüsten auf Sentinel 7.3.2
3.1 Sentinel in NetIQ Change Guardian integrieren
3.2 Konfiguration nach der Aufrüstung
4.0 Bekannte Probleme
4.1 Nach der Aufrüstung auf Sentinel 7.3.1 oder höher werden keine Ereignisse vom Sentinel-UNIX-Agenten 7.4 empfangen
4.2 Warnmeldungen mit IPv6-Daten können nicht in Warnmeldungsansichten angezeigt werden
4.3 Fehler beim Konfigurieren des NFS-Speichers nach der Aufrüstung der Sentinel-Appliance auf Version 7.3.1 und höher
4.4 Ausnahme im Sentinel-Serverprotokoll beim Aufrüsten von Sentinel-Versionen vor 7.3.1 auf Version 7.3.1 oder höher
4.5 Nach dem Aufrüsten auf Sentinel 7.3.1 können keine Ereignisse von Secure Configuration Manager empfangen werden und höher
4.6 Nach dem Aufrüsten auf Sentinel 7.3.1 können keine Ereignisse von Change Guardian empfangen werden und höher
4.7 Bei der Integration in Change Guardian 4.1 zeigt Sentinel keine Informationen zu Change Guardian-Änderungen an
4.8 Bar-Mitzvah-Sicherheitsschwachstelle im Sentinel Link-Connector
4.9 Der Agent Manager-Connector legt die Eigenschaft des Verbindungsmodus in den Ereignissen nicht fest, wenn der verknüpfte Collector mehrere Verbindungsmodi unterstützt
4.10 Sentinel Agent Manager berücksichtigt die RawDataTapFileSize-Konfiguration nicht
4.11 Suche der Tipps-Tabelle gibt in aufgerüsteten Sentinel-Installationen nicht die vollständige Liste der Warnmeldungsfelder zurück
4.12 Fehler bei der Datensynchronisierung, wenn IPv6-Adressen im menschenlesbaren Format synchronisiert werden
4.13 Ereignissuche reagiert nicht, wenn Sie über keine Berechtigungen für die Ereignisanzeige verfügen
4.14 Beim Bearbeiten einiger gespeicherter Suchen fehlt der Bereich „Ereignisfelder“ auf der Zeitplanseite
4.15 Sentinel gibt keine korrelierten Ereignisse zurück, wenn Sie Ereignisse für die bereitgestellte Regel mit der standardmäßigen Suche über die ausgelöste Anzahl suchen
4.16 Sentinel zeigt im FIPS-140-2-Modus keine Informationen zu Change Guardian-Änderungen an
4.17 Bei der Datenerfassung und Datensynchronisierung mit der DB2-Datenbank tritt nach der Aufrüstung auf Sentinel 7.3 ein Fehler auf
4.18 Neue eingehende Warnmeldungen werden beim Bearbeiten vorhandener Warnmeldungen falsch als ausgewählt angezeigt
4.19 Laden von Sicherheitsintelligenz-Verlaufsdaten dauert lange
4.20 Sicherheitsintelligenz-Dashboard zeigt beim erneuten Generieren einer Grundkonfiguration eine ungültige Grundkonfigurationsdauer an
4.21 Sentinel-Server wird heruntergefahren, wenn eine Suche ausgeführt wird und eine einzelne Partition eine große Anzahl Ereignisse enthält
4.22 Fehler beim Verwenden des Skripts „report_dev_setup.sh“ zum Konfigurieren von Sentinel-Ports für Firewall-Ausnahmen in aufgerüsteten Sentinel-Appliance-Installationen
4.23 Schlechtere Leistung des generischen Sentinel-Collectors, wenn der generische Collector für den Hostnamen-Auflösungsdienst aktiviert wird
4.24 Sentinel kann im FIPS-140-2-Modus nicht auf Sicherheitsintelligenzdaten, NetFlow-Daten und Warnmeldungsdaten zugreifen
4.25 Sicherheitsintelligenzdatenbank und Warnmeldungs-Dashboard funktionieren in aufgerüsteten benutzerdefinierten Installationen von Sentinel im FIPS-140-2-Modus gelegentlich nicht
4.26 Sentinel konfiguriert nicht standardmäßig die Netzwerkschnittstelle der Sentinel-Appliance
4.27 Beim Exportieren der Suchergebnisse in Sentinel wird im Webbrowser ein Fehler angezeigt
4.28 Partitionen, die aus dem Sekundärspeicher entfernt werden, werden auch aus dem Primärspeicher entfernt
4.29 Sentinel-Services starten nach der Installation unter Umständen nicht automatisch
4.30 Kerberos-Authentifizierung kann in Sentinel-Appliance-Installationen nicht aktiviert werden
4.31 Remote Collector Manager kann nicht installiert werden, wenn das Passwort Sonderzeichen enthält
4.32 Beim Neustarten eines Remote Collector Manager wird die Verbindung einiger Ereignisquellen unterbrochen
4.33 Die Anzeige von mehreren Berichten gleichzeitig ist nicht möglich
4.34 Bei aktiviertem FIPS-140-2-Modus verlangt der Agentenmanager die SQL-Authentifizierung
4.35 Sentinel-Hochverfügbarkeitsinstallation im FIPS-140-2-Modus gibt einen Fehler zurück
4.36 Sentinel-Hochverfügbarkeitsinstallation im Nicht-FIPS-140-2-Modus gibt einen Fehler zurück
4.37 Fehler bei der Appliance-Aktualisierung in WebYaST von Versionen vor Sentinel 7.2
4.38 Fehler beim Installieren von Korrelationsregeln
4.39 Sentinel-Link-Aktion zeigt falsche Meldung an
4.40 Dashboard und Abweichungsdefinitionen mit identischen Namen
4.41 Ungenaue Angaben in den Spalten „Dauer“ und „Zugegriffen“ für aktive Suchaufträge
4.42 Auditereignis „IssueSAMLToken“ zeigt falsche Informationen im Sicherheitsintelligenz-Dashboard an
4.43 Sentinel Control Center wird nicht gestartet, wenn NetIQ Identity Manager Designer auf dem Clientcomputer installiert ist
4.44 Sentinel Agent Manager erfasst keine Windows-Einfügungszeichenketten mit dem Wert „null“
5.0 Kontaktangaben
6.0 Rechtliche Hinweise

1.0 Softwarekorrekturen

In den folgenden Abschnitten werden die mit dieser Version behobenen Softwareprobleme vorgestellt:

Eine Liste der Softwarekorrekturen und Erweiterungen in früheren Versionen finden Sie in den entsprechenden Versionshinweisen.

1.1 Beim Wählen von „Auslöser anzeigen“ für ein Korrelationsereignis im Sentinel Control Center wird in der Sentinel-Weboberfläche eine Ausnahme angezeigt

Problem: Wenn Sie für ein Korrelationsereignis, das mit einem Vorfall verknüpft ist, im Sentinel Control Center (SCC) View Triggers (Auslöser anzeigen) auswählen, wird in der Sentinel-Weboberfläche vor dem Anzeigen der Ereignisse zunächst eine Ausnahme angezeigt. (BUG 846198)

Korrektur: Die Sentinel-Weboberfläche zeigt nun die Auslöser an, ohne zuvor eine Ausnahme zu verursachen.

1.2 Bei einer großen Anzahl Benutzeridentitäten reagiert die Sentinel-Weboberfläche nicht mehr

Problem: Bei einer großen Anzahl anzuzeigender Benutzeridentitäten reagiert die Sentinel-Weboberfläche nicht mehr. (BUG 895636)

Korrektur: Sentinel zeigt nun je Suche eine festgelegte Anzahl Benutzeridentitäten an. Um die Ergebnisse einer Identitätssuche einzugrenzen, verfeinern Sie die Suchabfrage, indem Sie beliebige Identitätsparameter im Feld Personen suchen eingeben, oder verwenden Sie die Option Erweiterte Suche.

Standardmäßig zeigt Sentinel 500 Benutzeridentitäten je Suche an. Führen Sie die folgenden Schritte aus, um diesen Wert zu ändern:

  1. Melden Sie sich beim Sentinel-Server als der Benutzer novell an.

  2. Öffnen Sie die Datei /etc/opt/novell/sentinel/config/ui-configuration.properties.

  3. Geben Sie den gewünschten Wert für die Eigenschaft webui.numberOfIdentitiesToLoad an.

  4. Starten Sie Sentinel neu.

1.3 Zertifikat des Sentinel-Proxyservers wird überschrieben, wenn von einem anderen Sentinel-Server auf Sentinel Control Center zugegriffen wird

Problem: Wenn Sie SCC von zwei verschiedenen Sentinel-Servern aus starten, wird das Proxyzertifikat des ersten Sentinel-Servers, von dem SCC gestartet wurde, mit dem Proxyzertifikat des zweiten Sentinel-Servers überschrieben. (BUG 887468)

Korrektur: Sentinel speichert die Zertifikate nun mit der IP-Adresse der Sentinel-Server, mit denen Sie sich bei SCC anmelden, und fordert auf den Servern, an denen Sie sich bereits einmal angemeldet haben, kein Zertifikat an.

1.4 Problem bei der Synchronisierung zwischen Sentinel und Sentinel Agent Manager

Problem: Wenn die Sentinel Agent Manager-Datenbank über einen bestimmten Zeitraum Attribute von einer großen Anzahl Agenten empfängt, werden die Attribute nicht mit der Sentinel-Datenbank synchronisiert. (BUG 926763)

Korrektur: Sentinel bietet nun einen fein abgestimmten Synchronisierungsmechanismus zwischen der Sentinel-Datenbank und der Sentinel Agent Manager-Datenbank.

1.5 Sentinel generiert keine auf Zusammenfassungen basierenden Berichte

Problem: Wenn die Höchstanzahl an Ereignisquellenknoten überschritten wird, generiert Sentinel keine auf Zusammenfassungen basierenden Berichte. Wenn Sie versuchen, diese Berichte auszuführen, werden Ausnahmen in die Protokollateien geschrieben. (BUG 928211)

Korrektur: Sentinel verarbeitet nun effizient große Anzahlen Ereignisquellenknoten.

1.6 Fehler eim Verarbeiten und Speichern von Ereignisdaten

Problem: Sentinel verarbeitet und speichert Ereignisdaten unter Umständen nicht ordnungsgemäß, wenn die Datenpufferspeicherorte benutzererstellte Dateien enthalten. (BUG 930827)

Korrektur: Sentinel löscht nun regelmäßig alle benutzererstellten Dateien an den Datenpufferspeicherorten und verarbeitet und speichert die Ereignisdaten ordnungsgemäß.

1.7 Einige Elemente der Sentinel-Weboberfläche werden nicht richtig angezeigt, wenn als Browsersprache nicht Englisch festgelegt ist

Problem: Wenn Sie für den Browser eine andere Sprache als Englisch festgelegt haben, werden bestimmte Elemente der Sentinel-Weboberfläche unter Umständen nicht richtig angezeigt. (BUG 932663 und BUG 940674)

Korrektur: Die Sentinel-Weboberfläche zeigt nun alle Elemente in allen unterstützten Sprachen richtig an.

1.8 Sentinel zeigt eine Fehlermeldung beim Abmelden

Problem: Wenn Sie Firefox 37.0.4 oder eine höhere Version verwenden, zeigt Sentinel beim Abmelden eine Fehlermeldung an. Dieser Fehler beeinträchtigt jedoch nicht die Funktionsfähigkeit. (BUG 935309)

Korrektur: Die Sentinel-Weboberfläche verarbeitet Abmeldeanforderungen nun ordnungsgemäß und zeigt bei der Abmeldung keinen Fehler an.

1.9 Zeichenkettenelemente können nicht aus dynamischen Listen gelöscht werden

Problem: Sentinel lässt nicht zu, dass Sie in SCC oder über eine Korrelationsaktion Zeichenkettenelemente aus dynamischen Listen löschen. (BUG 939244)

Korrektur: Sentinel entfernt Zeichenkettenelemente nun aus den dynamischen Listendateien.

1.10 Suchergebnisse sind für geplante Suchen in bestimmten Zeitbereichen unvollständig

Problem: Die Suchergebnisse sind unvollständig, wenn Sie über die geplanten gespeicherten Suchen eine Suche mit Datumsbereich ausführen. (BUG 940604)

Korrektur: Sentinel zeigt die vollständigen Suchergebnisse für gespeicherte Suchen für alle Zeitbereiche an.

1.11 Geplante Berichtaufträge für Berichte, die über die Schaltfläche „Bericht erstellen“ erstellt wurden, können nicht bearbeitet werden

Problem: Für Berichte, die über die Schaltfläche Bericht erstellen in der Sentinel-Weboberfläche erstellt wurden, können die geplanten Berichtaufträge nicht bearbeitet werden. Sentinel zeigt eine Fehlermeldung an, wenn Sie versuchen, diese geplanten Berichtaufträge zu bearbeiten. (BUG 940785)

Korrektur: Die geplanten Berichtaufträge für Berichte, die über die Schaltfläche Bericht erstellen in der Sentinel-Weboberfläche erstellt wurden, können nun bearbeitet werden.

1.12 Korrelationsregeln unterstützen keine Ereignisfeldnahmen, die Unterstriche enthalten

Problem: Korrelationsregeln lassen keine Ereignisfelder zu, deren Namen einen Unterstrich (_) enthalten. (BUG 940829)

Korrektur: Korrelationsregeln lassen nun Ereignisfelder zu, deren Namen einen Unterstrich (_) enthalten.

1.13 Sentinel überschreibt bei der Aufrüstung die benutzerdefinierten Konfigurationswerte in der Datei „server.conf“

Problem: Während der Aufrüstung überschreibt Sentinel die benutzerdefinierten Konfigurationswerte einiger Eigenschaften in der Datei server.conf, wie wrapper.java.additional.49. (BUG 941071)

Korrektur: Sie können die benutzerdefinierten Konfigurationsinformationen nun speichern, indem Sie vor der Aufrüstung die folgende Prozedur ausführen:

  1. Melden Sie sich am Sentinel-Server als der Benutzer novell an und wechseln Sie zum Verzeichnis /etc/opt/novell/sentinel/config/.

  2. Erstellen Sie eine Konfigurationsdatei mit dem Namen server-custom.conf und fügen Sie die benutzerdefinierten Konfigurationsparameter in dieser Datei hinzu.

  3. (Optional) Erstellen Sie ähnliche benutzerdefinierte Konfigurationsdateien für die anderen Komponenten von Sentinel, beispielsweise für Netflow Collector. Beispiel: netflow-collector-custom.conf.

Sentinel wendet die in diesen Konfigurationsdateien gespeicherte benutzerdefinierte Konfiguration während der Aufrüstung an.

1.14 Nach der Aufrüstung auf Version 7.3.1 startet Sentinel aufgrund komplexer Korrelationsregeln nicht

Problem: Wenn vor der Aufrüstung lange Korrelationsregeln mit vielen Filterbewertungsausdrücken im bereitgestellten Zustand im Sentinel-System verfügbar sind, werden der Sentinel-Server, die Weboberfläche und die Remote Correlation Engine nach der Aufrüstung auf Sentinel Version 7.3.1 nicht gestartet.

Außerdem lassen sich keine komplexen Korrelationsregeln in Sentinel 7.3.1 erstellen. (BUG 942079)

Korrektur: Der Sentinel-Server und die anderen Komponenten werden nun nach der Aufrüstung erfolgreich gestartet, auch wenn komplexe Korrelationsregeln vorhanden sind. Es ist nun möglich, komplexe Korrelationsregeln zu erstellen und bereitzustellen.

1.15 Sentinel-Server wird während Suchvorgängen, die sich auf viele Tage beziehen, heruntergefahren

Problem: Beim Ausführen von Suchen, die sich auf einen Zeitraum von vielen Tagen beziehen und weniger als 50.000 Suchergebnisse liefern, wird möglicherweise der Arbeitsspeicher des Sentinel-Servers überlastet und der Sentinel-Server wird heruntergefahren. (BUG 943943)

Korrektur: In Sentinel 7.3.2 wurde die Auslastung des Arbeitsspeichers bei Suchläufen, die sich auf einen Zeitraum von vielen Tagen beziehen, verbessert.

1.16 Problem bei der Datensynchronisierung zwischen der Sentinel- und der Oracle-Datenbank bei ungültiger Ereigniszeit

Problem: Bei der Datensynchronisierung zwischen der Sentinel-Datenbank und der Oracle-Datenbank tritt ein Fehler auf, wenn ein beliebiges Ereignis einen ungültigen Datumsbereich enthält, beispielsweise ein zukünftiges Jahr wie „22015“. (BUG 925772)

Korrektur: Die Datensynchronisierung wird nahtlos ausgeführt. Wenn Ereignisse mit ungültigem Datumsbereich vorliegen, protokolliert Sentinel diese Ereignisse in einer Protokolldatei und verarbeitet den nächsten Satz zu synchronisierender Ereignisse.

1.17 Berichtgenerierungsprozess wird beendet, wenn die Leerlauf-Zeitüberschreitungsgrenze überschritten wird

Problem: Für den Berichtgenerierungsprozess ist in Sentinel eine Leerlauf-Zeitüberschreitungsgrenze mit dem Standardwert von 15 Minuten konfiguriert. Oft werden Berichte mit einer großen Datenmenge, beinspielsweise in einer Umgebung mit mehreren Mandanten, nicht innerhalb von 15 Minuten abgeschlossen und die Berichtaufträge in diesem Fall unvermittelt abgebrochen. (BUG 941612)

Korrektur: Mithilfe der folgenden Prozedur können Sie einen Wert für die Leerlauf-Zeitüberschreitung für die Berichterstellung konfigurieren:

  1. Melden Sie sich beim Sentinel-Server als der Benutzer novell an.

  2. Öffnen Sie die Datei /etc/opt/novell/sentinel/config/configuration.properties.

  3. Legen Sie den gewünschten Wert für die Eigenschaft sentinel.report.idle.timeout.mins fest.

  4. Starten Sie Sentinel neu.

1.18 Fehler bei der Berichtgenerierung, wenn die Berichtabfrage die Zeichenkette 'Over' enthält

Problem: Der Berichtgenerierungsprozess wird beendet, wenn die Berichtabfrage die Zeichenkette over enthält. Beispielsweise tritt beim Erstellen des Berichts für die Suchabfrage (evt:"recovery") ein Fehler auf. (BUG 939902)

Korrektur: Berichte werden nun ordnungsgemäß generiert, selbst wenn die Berichtabfrage die Zeichenkette over enthält.

1.19 Sentinel protokolliert eine Warnmeldung, wenn Korrelationsregeln, die auf einer Zuordnung beruhen, auf einer Remote Correlation Engine bereitgestellt werden

Problem: Wenn Sie eine Korrelationsregel erstellen, die auf einer Zuordnung beruht, und die Regel auf einer Remote Correlation Engine bereitstellen, protokolliert Sentinel bei einer Änderung der Zuordnung die folgende Warnmeldung:

Received Callback Request for an unregistered Object (Callback für nicht registriertes Objekt erhalten)

(BUG 934765)

Korrektur: Sentinel protokolliert nun keine Warnmeldung mehr für Korrelationsregeln, die auf einer Zuordnung basieren.

1.20 Fehler bei verfeinerter Ereignissuche nach der Aufrüstung auf Sentinel 7.3.1

Problem: Wenn Sie eine verfeinerte Ereignissuchabfrage in einer Ereignissuche angeben, wie letzte 30 Tage, zeigt Sentinel keine Ereignisdaten an. (BUG 947867)

Korrektur: Sentinel zeigt nun die richtigen Daten für verfeinerte Ereignissuchen an.

1.21 Zuordnungen, die mithilfe von Ereignisfeldzuordnungen erstellt wurden, funktionieren nach der Aufrüstung auf Sentinel 7.3.1 nicht mehr

Problem: Zuordnungen, die mithilfe von Ereignisfeldzuordnungen erstellt wurden, funktionieren nach der Aufrüstung auf Sentinel Version 7.3.1 nicht. (BUG 944251)

Korrektur: Sentinel generiert nun alle vor der Aufrüstung auf Version 7.3.1 generierten Zuordnungen neu und die Ereigniszuordnung funktioniert nach der Aufrüstung auf Version 7.3.1 ordnungsgemäß.

1.22 Solution Designer zeigt Null-Zeiger-Ausnahme an, wenn Sie Korrelationsregeln aus der Inhaltspalette auswählen

Problem: Solution Designer zeigt eine Null-Zeiger-Ausnahme an, wenn Sie zum Inhaltspalettenfenster wechseln und die Korrelationsregeln auswählen, die einen nicht in Klammern eingeschlossenen Inlist-Begriff enthalten. (BUG 938039)

Korrektur: Korrelationsregeln, die einen nicht in Klammern eingeschlossenen Inlist-Begriff enthalten, werden nun ordnungsgemäß verarbeitet.

1.23 Personensuche bietet keine Unterstützung für Polnisch

Problem: Bei der Verwendung von polnischen Buchstaben im Personenbrowser zeigt Sentinel keine Ergebnisse an. (BUG 943261)

Korrektur: Sentinel erkennt nun polnische Buchstaben in der Personensuche und zeigt die Ergebnisse entsprechend an.

1.24 Sentinel zeigt nach der Aufrüstung auf Sentinel 7.3.1 keine Elemente in dynamischen Listen an

Problem: Nach der Aufrüstung auf Version 7.3.1 zeigt Sentinel im SCC und in der Weboberfläche keine Listenelemente in dynamischen Listen an, selbst wenn solche Elemente vorhanden sind. (BUG 947622)

Korrektur: Sentinel zeigt nun die Elemente dynamischer Listen richtig in der Weboberfläche und im SCC an.

1.25 Inkonsistente Leerzeichen in der Sentinel-Weboberfläche

Problem: Im Navigationsbereich „Korrelation“ sind die Leerzeichen zwischen den Klammern und der Zahl, die die Anzahl der Korrelationsregeln angibt, inkonsistent. (BUG 948088)

Korrektur: Die Leerzeichen im Navigationsbereich „Korrelation“ sind nun konsistent.

2.0 Systemanforderungen

Weitere Informationen zu den Hardwarevoraussetzungen und den unterstützten Betriebssystemen und Browsern finden Sie auf der Website mit technischen Daten zu Sentinel.

3.0 Aufrüsten auf Sentinel 7.3.2

Sie können von Sentinel 7.0 oder höher auf Sentinel 7.3.2 aufrüsten.

Laden Sie das Sentinel-Installationsprogramm von der NetIQ-Download-Website herunter. Weitere Informationen zur Aufrüstung auf Sentinel 7.3.2 finden Sie unter Aufrüsten von Sentinel im Installations- und Konfigurationshandbuch für NetIQ Sentinel.

3.1 Sentinel in NetIQ Change Guardian integrieren

So aktivieren Sie die Integration in NetIQ Change Guardian:

  1. Melden Sie sich mit dem Benutzer root an und wechseln Sie zum Verzeichnis, in dem sich das Sentinel-Installationsprogramm befindet.

  2. Führen Sie den folgenden Befehl aus, um zu überprüfen, welche Version von Change Guardian zurzeit in Sentinel integriert ist:

    rpm -qa | grep ncgOverlay

    Wenn die Ausgabe des Befehls für ncgOverlay eine ältere Version als 4.1.1.2 anzeigt, ist ein Fehler bei der Aufrüstung der Change Guardian-Integration aufgetreten. Fahren Sie mit Schritt 3 fort, um die Integration manuell aufzurüsten.

  3. Führen Sie den folgenden Befehl aus:

    rpm -Uvh ncgOverlay-4.1.1.2-1104.i586.rpm

  4. Führen Sie den folgenden Befehl aus, um zu überprüfen, ob die Aufrüstung erfolgreich war:

    rpm -qa | grep ncgOverlay

    Die Ausgabe des Befehls sollte für ncgOverlay die Version 4.1.1.2 anzeigen.

3.2 Konfiguration nach der Aufrüstung

(Bedingt) Führen Sie die folgenden Aktionen aus, um von Sentinel 7.2.2 oder einer früheren Version auf Sentinel 7.3.2 aufzurüsten:

  • Nach der Aufrüstung verfügt die Suchvertretungs-Rolle nicht über die Berechtigung Benutzern erlauben, Warnmeldungen zu verwalten. Die Rolle benötigt diese Berechtigung, um eine Remote-Suche nach Warnmeldungen auszuführen. Weisen Sie der Suchvertretungs-Rolle die Berechtigung Benutzern erlauben, Warnmeldungen zu verwalten manuell zu.

    Weitere Informationen finden Sie unter Configuring Roles and Users (Konfigurieren von Rollen und Benutzern) im NetIQ Sentinel Administration Guide (NetIQ Sentinel-Administrationshandbuch).

  • Zur Gewährleistung der Konsistenz mit neueren Versionen von Sentinel und der Sentinel-Dokumentation benennen Sie die Suchvertretungs-Role nach der Aufrüstung in „Datenvertretungsbenutzer“ um.

4.0 Bekannte Probleme

NetIQ Corporation ist bestrebt, Produkte zu bieten, die hochwertige Lösungen für die Softwarebedürfnisse Ihres Unternehmens darstellen. Die nachfolgend beschriebenen Probleme werden zurzeit untersucht. Wenden Sie sich an den Technischen Support, wenn Sie weitere Hilfe zu einem Problem benötigen.

Die Java 8-Aktualisierung und die Korrekturen von Sicherheitsschwachstellen, die in Sentinel 7.3.1 enthalten sind, können die folgenden Plugins beeinträchtigen:

  • Cisco SDEE Connector

  • SAP-Connector

  • Remedy Integrator

Probleme mit diesen Plugins werden bei NetIQ gemäß den Standardrichtlinien für die Mängelbehebung priorisiert und behoben. Weitere Informationen zu den Supportrichtlinien finden Sie auf der Website zu den Supportrichtlinien.

4.1 Nach der Aufrüstung auf Sentinel 7.3.1 oder höher werden keine Ereignisse vom Sentinel-UNIX-Agenten 7.4 empfangen

Problem: Im Rahmen der in Sentinel 7.3.1 enthaltenen Korrekturen für Sicherheitsschwachstellen wurden Änderungen am Kommunikationsmechanismus für gesicherte Verbindungen eingeführt. Diese Änderungen sind nicht mit dem Sentinel-UNIX-Agenten 7.4 kompatibel. Daher kann Sentinel keine Ereignisse vom Sentinel-UNIX-Agenten 7.4 empfangen. (BUG 953990)

Behelfslösung: Momentan lässt sich dieses Problem nicht umgehen. Das Problem wird behoben, sobald eine kompatible Version des Sentinel-UNIX-Agenten verfügbar ist.

4.2 Warnmeldungen mit IPv6-Daten können nicht in Warnmeldungsansichten angezeigt werden

Problem: In den Warnmeldungsansichten und Warnmeldungs-Dashboards von Sentinel werden keine Warnmeldungen angezeigt, die eine IPv6-Adresse im Feld „IP-Adresse“ enthalten. (BUG 924874)

Behelfslösung: Zum Anzeigen von Warnmeldungen mit IPv6-Adressen in Sentinel führen Sie die Schritte im NetIQ-Knowledgebase-Artikel 7016555 aus.

4.3 Fehler beim Konfigurieren des NFS-Speichers nach der Aufrüstung der Sentinel-Appliance auf Version 7.3.1 und höher

Problem: Sentinel zeigt einen Fehler an, wenn Sie versuchen, NFS weiterhin als Sekundärspeicher zu nutzen, nachdem Sie die Sentinel-Appliance auf Version 7.3.1 oder höher aufgerüstet haben. (BUG 934851)

Behelfslösung: Starten Sie das SLES-Betriebssystem nach dem Aufrüsten auf die Sentinel-Appliance mit dem folgenden Befehl neu:

init 6

4.4 Ausnahme im Sentinel-Serverprotokoll beim Aufrüsten von Sentinel-Versionen vor 7.3.1 auf Version 7.3.1 oder höher

Problem: Wenn Sie Sentinel aufrüsten und dann den Sentinel-Server starten, kann die folgende Ausnahme im Serverprotokoll angezeigt werden:

Invalid length of data object ......

(BUG 933640)

Behelfslösung: Ignorieren Sie die Ausnahme. Diese Ausnahme wirkt sich nicht auf die Leistung von Sentinel aus.

4.5 Nach dem Aufrüsten auf Sentinel 7.3.1 können keine Ereignisse von Secure Configuration Manager empfangen werden und höher

Problem: Sentinel kommuniziert über das Diffie-Hellman-Protokoll mit Secure Configuration Manager. Im Rahmen der Behebung der Logjam-Schwachstelle wurde die Größe des Zertifikatsschlüssels für das Diffie-Hellman-Protokoll in Sentinel auf 2048 erhöht. Secure Configuration Manager verwendet jedoch weiterhin die standardmäßige Zertifikatsschlüsselgröße (1024). Aufgrund dieser Abweichung kann Secure Configuration Manager nicht mehr mit Sentinel kommunizieren. (BUG 935987)

Behelfslösung: Bis zur Bereitstellung einer Korrektur für Secure Configuration Manager führen Sie die folgenden Schritte aus:

ACHTUNG:Diese Behelfslösung hebt die Korrektur der Logjam-Schwachstelle auf, die im Abschnitt Korrekturen von Sicherheitsschwachstellen in den Sentinel 7.3.1-Versionshinweisen beschrieben ist.

  1. Melden Sie sich als Benutzer novell an und öffnen Sie die Datei /etc/opt/novell/sentinel/config/configuration.properties.

  2. Kommentieren Sie die folgende Zeile mit dem Präfix # aus:

    jdk.tls.ephemeralDHKeySize=2048

  3. Starten Sie Sentinel neu.

4.6 Nach dem Aufrüsten auf Sentinel 7.3.1 können keine Ereignisse von Change Guardian empfangen werden und höher

Problem: Im Rahmen der Korrektur für die Bar-Mitzvah-Schwachstelle hat Sentinel die RC4-Ziffern an SSL-Ports deaktiviert, die für den Webserver aktiviert sind. Change Guardian kommuniziert allerdings über RC4-Ziffern mit Sentinel. Aus diesem Grund ist die Kommunikation von Change Guardian mit Sentinel nicht mehr möglich. (BUG 935401)

Behelfslösung: Bis zur Bereitstellung einer Korrektur für Change Guardian führen Sie die folgenden Schritte aus:

ACHTUNG:Diese Behelfslösung hebt die Korrektur der Bar Mitzvah-Schwachstelle auf, die im Abschnitt Korrekturen von Sicherheitsschwachstellen in den Sentinel 7.3.1-Versionshinweisen beschrieben ist.

  1. Melden Sie sich als Benutzer novell an und öffnen Sie die Datei /etc/opt/novell/sentinel/3rdparty/jetty/jetty-ssl.xml.

  2. Löschen Sie die folgenden Zeilen aus der Liste „ExcludeCipherSuites“:

    <Item>SSL_RSA_WITH_RC4_128_SHA</Item>

    <Item>SSL_RSA_WITH_RC4_128_MD5</Item>

  3. Starten Sie Sentinel neu.

  4. Starten Sie den Change Guardian-Dienst auf dem Computer des Change Guardian-Agenten neu.

4.7 Bei der Integration in Change Guardian 4.1 zeigt Sentinel keine Informationen zu Change Guardian-Änderungen an

Problem: Wenn Sentinel in Change Guardian 4.1 integriert ist, werden keine Informationen zu Change Guardian-Änderungen angezeigt, obwohl der Empfang von Change Guardian-Ereignissen konfiguriert ist. (BUG 936704)

Behelfslösung: Rüsten Sie Change Guardian auf Version 4.1.1 oder höher auf.

Alternativ:

Dieses Problem wird im Change Guardian-Lösungspaket 2011.1r4 behoben. Bis zur offiziellen Freigabe können Sie das Lösungspaket von der Sentinel-Plugins-Website aus dem Bereich „Previews“ (Vorschau) herunterladen. Nach dem Anwenden des Lösungspakets können Sie Informationen zu Änderungen in den folgenden Change Guardian-Berichten abrufen:

  • Change Guardian-Ereignisse

  • Change Guardian-Ereignisse nach Bestand

  • Change Guardian-Ereignisse nach Richtlinie

  • Change Guardian-Ereignisse nach Benutzer

4.8 Bar-Mitzvah-Sicherheitsschwachstelle im Sentinel Link-Connector

Problem: In Sentinel Link-Connector ist die Bar-Mitzvah-Sicherheitsschwachstelle vorhanden. Der Sentinel Link-Connector verwendet den RC4-Algorithmus im SSL- und TSL-Protokoll, so dass unter Umständen Plaintext-Recovery-Angriffe auf die ersten Byte in einem Datenstrom möglich sind. Weitere Informationen finden Sie unter CVE-2015-2808. (BUG 933741)

Behelfslösung: Der Sentinel Link-Connector Version 2011.1r4 und höher behebt das Problem. Bis zur offiziellen Freigabe auf der Sentinel-Plugins-Website können Sie den Connector aus dem Bereich Preview (Vorschau) herunterladen.

4.9 Der Agent Manager-Connector legt die Eigenschaft des Verbindungsmodus in den Ereignissen nicht fest, wenn der verknüpfte Collector mehrere Verbindungsmodi unterstützt

Problem: Der Agent Manager-Connector Version 2011.1r3 legt die Eigenschaft CONNECTION_MODE in den Ereignissen nicht fest, wenn der Collector, der die Ereignisse analysiert, mehrere Verbindungsmodi unterstützt. (BUG 880564)

Behelfslösung: Der Agent Manager-Connector Version 2011.1r5 und höher behebt das Problem. Bis zur offiziellen Freigabe auf der Sentinel-Plugins-Website können Sie den Connector aus dem Bereich Preview (Vorschau) herunterladen.

4.10 Sentinel Agent Manager berücksichtigt die RawDataTapFileSize-Konfiguration nicht

Problem: Sentinel Agent Manager ignoriert den Wert, der für das Attribut RawDataTapFileSize in der Datei SMServiceHost.exe.config für die Konfiguration der Rohdatendateigröße angegeben ist, und schreibt nicht mehr in die Rohdatendatei, wenn die Dateigröße 10 MB erreicht.(BUG 867954)

Behelfslösung: Kopieren Sie den Inhalt der Rohdatendatei in eine andere Datei und löschen Sie die Datei, wenn ihre Größe 10 MB erreicht, damit Sentinel Agent Manager erneut Daten in die Datei schreiben kann.

4.11 Suche der Tipps-Tabelle gibt in aufgerüsteten Sentinel-Installationen nicht die vollständige Liste der Warnmeldungsfelder zurück

Problem: Wenn Sie in aufgerüsteten Installationen von Sentinel 7.3 in der Tipps-Tabelle in der Weboberfläche Warnmeldungsattribute suchen, gibt die Suche nicht die vollständige Liste der Warnmeldungsfelder zurück. Wenn Sie die Suche löschen, werden die Warnmeldungsfelder jedoch richtig in der Tipps-Tabelle angezeigt. (BUG 914755)

Behelfslösung: Momentan lässt sich dieses Problem nicht umgehen.

4.12 Fehler bei der Datensynchronisierung, wenn IPv6-Adressen im menschenlesbaren Format synchronisiert werden

Problem: Bei der Datensynchronisierung tritt ein Fehler auf, wenn Sie versuchen, IPv6-Adressfelder im menschenlesbaren Format für externe Datenbanken zu synchronisieren. Weitere Informationen über das Konfigurieren von Sentinel zum Auffüllen der IP-Adressfelder in menschenlesbarer Dezimalpunktschreibweise finden Sie unter Creating a Data Synchronization Policy (Erstellen einer Datensynchronisierungsrichtlinie) im NetIQ Sentinel Administration Guide (NetIQ Sentinel-Administrationshandbuch). (BUG 913014)

Behelfslösung: Ändern Sie zur Behebung dieses Problems die maximale Größe der IP-Adressfelder in der Zieldatenbank auf mindestens 46 Zeichen und synchronisieren Sie die Datenbank erneut.

4.13 Ereignissuche reagiert nicht, wenn Sie über keine Berechtigungen für die Ereignisanzeige verfügen

Problem: Wenn Sie eine Ereignissuche ausführen während der Sicherheitsfilter Ihrer Rolle leer ist und die Rolle über keine Berechtigungen zur Ereignisanzeige verfügt, wird die Suche nicht abgeschlossen. Die Suche zeigt keine Fehlermeldung zu den ungültigen Berechtigungen für die Ereignisanzeige an. (BUG 908666)

Behelfslösung: Aktualisieren Sie die Rolle auf eine der folgenden Weisen:

  1. Geben Sie im Feld Nur Ereignisse, die mit diesen Kriterien übereinstimmen ein Kriterium an. Wenn die Benutzer der Rolle keine Ereignisse sehen sollen, können Sie NOT sev:[0 TO 5] eingeben.

  2. Wählen Sie Systemereignisse anzeigen aus.

  3. Wählen Sie Alle Ereignisdaten anzeigen (einschließlich Rohdaten und NetFlow-Daten) aus.

4.14 Beim Bearbeiten einiger gespeicherter Suchen fehlt der Bereich „Ereignisfelder“ auf der Zeitplanseite

Problem: Wenn Sie eine gespeicherte Suche bearbeiten, die von Sentinel 7.2 auf eine spätere Version aufgerüstet wurde, fehlt auf der Zeitplanseite der Bereich Ereignisfelder, in dem die Ausgabefelder für die CSV-Datei mit den Suchergebnissen festgelegt werden. (BUG 900293)

Behelfslösung: Erstellen und planen Sie die Suche nach der Aufrüstung von Sentinel neu, damit der Bereich Ereignisfelder auf der Zeitplanseite angezeigt wird.

4.15 Sentinel gibt keine korrelierten Ereignisse zurück, wenn Sie Ereignisse für die bereitgestellte Regel mit der standardmäßigen Suche über die ausgelöste Anzahl suchen

Problem: Sentinel gibt keine korrelierten Ereignisse zurück, wenn Sie zum Suchen aller korrelierten Ereignisse, die nach dem Bereitstellen oder Aktivieren der Regel generiert wurden, auf der Korrelationsübersichtsseite der Regel im Bereich Aktivitätsstatistik auf das Symbol Ausgelöste Anzahl klicken. (BUG 912820)

Behelfslösung: Ändern Sie den Wert im Feld Von auf der Seite der Ereignissuche in einen Wert, der einen Zeitpunkt vor der im Feld aufgefüllten Zeit darstellt, und klicken Sie erneut auf Suchen.

4.16 Sentinel zeigt im FIPS-140-2-Modus keine Informationen zu Change Guardian-Änderungen an

Problem: Sentinel zeigt im FIPS-140-2-Modus keine Informationen zu Change Guardian-Änderungen an, wenn Sie Change Guardian-Ereignisse suchen und auf das Symbol Change Guardian klicken, auch wenn es zum Empfangen von Change Guardian-Ereignissen konfiguriert ist. Change Guardian-Versionen vor Version 4.2 unterstützen nicht das Senden von Ereignissen im mit FIPS 140-2 kompatiblen Modus. (BUG 912230)

Behelfslösung: Momentan lässt sich dieses Problem nicht umgehen.

4.17 Bei der Datenerfassung und Datensynchronisierung mit der DB2-Datenbank tritt nach der Aufrüstung auf Sentinel 7.3 ein Fehler auf

Problem: Die Aufrüstung auf Sentinel 7.3 verursacht einen Fehler bei der Datenerfassung und Datensynchronisierung mit der DB2-Datenbank, weil der IBM DB2 JDBC-Treiber bei der Aufrüstung entfernt wird. (BUG 909343)

Behelfslösung: Fügen Sie nach der Aufrüstung auf Sentinel 7.3 den richtigen JDBC-Treiber hinzu und konfigurieren Sie ihn für die Datenerfassung und Datensynchronisierung. Führen Sie dazu die folgenden Schritte aus:

  1. Kopieren Sie die richtige Version des IBM DB2 JDBC-Treibers (db2jcc-*.jar) für Ihre DB2-Datenbankversion in den Ordner /opt/novell/sentinel/lib.

  2. Achten Sie darauf, die erforderliche Eigentümerschaft und die erforderlichen Berechtigungen für die Treiberdatei festzulegen.

  3. Konfigurieren Sie diesen Treiber für die Datenerfassung. Weitere Informationen finden Sie in der Datenbank-Connector-Dokumentation.

4.18 Neue eingehende Warnmeldungen werden beim Bearbeiten vorhandener Warnmeldungen falsch als ausgewählt angezeigt

Problem: Wenn Sie in der Warnmeldungsansicht auf Alle auswählen klicken, um Warnmeldungen auszuwählen, und dann die Auswahl einiger Warnmeldungen aufheben und diese Warnmeldungen bearbeiten, sind neue eingehende Warnmeldungen in der aktualisierten Warnmeldungsansicht ebenfalls ausgewählt. Dies führt zu einer falschen Anzahl der zur Bearbeitung ausgewählten Warnmeldungen und es könnte angenommen werden, dass neue eingehende Warnmeldungen ebenfalls geändert werden. Es werden jedoch nur die ursprünglich ausgewählten Warnmeldungen bearbeitet.(BUG 904830)

Behelfslösung: Wenn Sie die Warnmeldungsansicht mit einem benutzerdefinierten Zeitraum erstellen, werden keine neuen Warnmeldungen in der Warnmeldungsansicht angezeigt.

4.19 Laden von Sicherheitsintelligenz-Verlaufsdaten dauert lange

Problem: Das Laden von Verlaufsdaten der Sicherheitsintelligenz (SI) in Sentinel-Systeme mit hoher EPS-Last dauert lange. (BUG 908599)

Behelfslösung: Wenn Sie ein Sicherheitsintelligenz-Dashboard mit Verlaufsdaten erstellen, planen Sie die Bereitstellung des Dashboards wenn möglich für einen Zeitpunkt mit niedriger Systemlast. Momentan lässt sich dieses Problem nicht anders umgehen.

4.20 Sicherheitsintelligenz-Dashboard zeigt beim erneuten Generieren einer Grundkonfiguration eine ungültige Grundkonfigurationsdauer an

Problem: Während der erneuten Generierung der Sicherheitsintelligenz-Grundkonfiguration werden das Start- und Enddatum falsch als „1.1.1970“ angezeigt.(BUG 912009)

Behelfslösung: Wenn die Neugenerierung der Grundkonfiguration abgeschlossen ist, werden die richtigen Daten angezeigt.

4.21 Sentinel-Server wird heruntergefahren, wenn eine Suche ausgeführt wird und eine einzelne Partition eine große Anzahl Ereignisse enthält

Problem: Der Sentinel-Server wird heruntergefahren, wenn eine Suche ausgeführt wird und eine einzelne Partition eine große Anzahl Ereignisse enthält. (BUG 913599)

Behelfslösung: Erstellen Sie Beibehaltungsrichtlinien so, dass an einem Tag mindestens zwei Partitionen geöffnet sind. Wenn mehrere Partitionen geöffnet sind, wird die Anzahl der in den Partitionen indexierten Ereignisse reduziert.

Sie können Beibehaltungsrichtlinien erstellen, die Ereignisse auf Grundlage des Felds estzhour filtern. Dieses Feld dient der Nachverfolgung der Stunde des Tages. Sie können also eine Beibehaltungsrichtlinie mit dem Filter estzhour:[0 TO 11] und eine weitere Beibehaltungsrichtlinie mit dem Filter estzhour:[12 TO 23] erstellen.

Weitere Informationen finden Sie im Abschnitt Configuring Data Retention Policies (Datenbeibehaltungsrichtlinien konfigurieren) im NetIQ Sentinel Administration Guide (NetIQ Sentinel-Administrationshandbuch).

4.22 Fehler beim Verwenden des Skripts „report_dev_setup.sh“ zum Konfigurieren von Sentinel-Ports für Firewall-Ausnahmen in aufgerüsteten Sentinel-Appliance-Installationen

Problem: Sentinel zeigt einen Fehler an, wenn Sie Sentinel-Ports für Firewall-Ausnahmen mit dem Skript report_dev_setup.sh konfigurieren. (BUG 914874)

Behelfslösung: Führen Sie die folgenden Schritte aus, um Sentinel-Ports für Firewall-Ausnahmen zu konfigurieren:

  1. Öffnen Sie die Datei /etc/sysconfig/SuSEfirewall2.

  2. Ändern Sie die folgende Zeile:

    FW_SERVICES_EXT_TCP=" 443 8443 4984 22 61616 10013 289 1289 1468 1443 40000:41000 1290 1099 2000 1024 1590"

    in

    FW_SERVICES_EXT_TCP=" 443 8443 4984 22 61616 10013 289 1289 1468 1443 40000:41000 1290 1099 2000 1024 1590 5432"

  3. Starten Sie Sentinel neu.

4.23 Schlechtere Leistung des generischen Sentinel-Collectors, wenn der generische Collector für den Hostnamen-Auflösungsdienst aktiviert wird

Problem: Die Leistung des generischen Sentinel-Collectors sinkt, wenn der generische Collector für den Hostnamen-Auflösungsdienst unter Microsoft Active Directory und Windows Collector aktiviert wird. Die EPS sinkd um 50 %, wenn Remote-Collector-Manager Ereignisse senden. (BUG 906715)

Behelfslösung: Momentan lässt sich dieses Problem nicht umgehen.

4.24 Sentinel kann im FIPS-140-2-Modus nicht auf Sicherheitsintelligenzdaten, NetFlow-Daten und Warnmeldungsdaten zugreifen

Problem: Wenn Sie Sentinel im FIPS-140-2-Modus installieren, kann der Connector zur Sicherheitsintelligenzdatenbank nicht gestartet werden, und Sentinel hat keinen Zugriff auf Sicherheitsintelligenzdaten, NetFlow-Daten und Warnmeldungsdaten. (BUG 915241)

Behelfslösung: Starten Sie Sentinel neu, nachdem Sie es im FIPS-140-2-Modus installiert und konfiguriert haben.

4.25 Sicherheitsintelligenzdatenbank und Warnmeldungs-Dashboard funktionieren in aufgerüsteten benutzerdefinierten Installationen von Sentinel im FIPS-140-2-Modus gelegentlich nicht

Problem: Wenn Sie von einer benutzerdefinierten Installation von Sentinel, die mit einem Nicht-Root-Benutzer installiert und im FIPS-140-2-Modus konfiguriert wurde, auf Sentinel 7.3 aufrüsten, werden die Sicherheitsintelligenzdatenbank und das Warnmeldungs-Dashboard gelegentlich nicht gestartet. (BUG 916285)

Behelfslösung: Führen Sie die folgenden Schritte aus:

  1. Wechseln Sie zu <benutzerdefiniertes Installationsverzeichnis>/opt/novell/sentinel/bin, um den Sentinel-Indexdienst zu ermitteln.

  2. Führen Sie den folgenden Befehl aus:

    ./si_db.sh status

    Überprüfen Sie, ob die folgende Ausgabe angezeigt wird:

    Connection between alert store and indexing service is running.
Security Intelligence database is running.
Indexing service is running.

    Wenn einer der drei oben genannten Dienste nicht ausgeführt wird, führen Sie die folgenden Schritte aus:

  3. Führen Sie folgenden Befehl aus, um Sentinel zu stoppen:

    rcsentinel stop

  4. Melden Sie sich beim Sentinel-Server als der Benutzer novell an.

  5. Führen Sie den folgenden Befehl aus:

    <benutzerdefiniertes Installationsverzeichnis>/opt/novell/sentinel/bin/si_db.sh startnoauth

  6. Führen Sie folgenden Befehl aus, um die Benutzer „dbauser“ und „appuser“ hinzuzufügen:

    cd <benutzerdefiniertes Installationsverzeichnis>/opt/novell/sentinel/3rdparty/mongodb/bin

    ./mongo

    use admin

    db.addUser ("dbauser", "novell")

    use analytics

    db.addUser ("appuser", "novell")

    exit

  7. Stoppen Sie die MongoDB-Datenbank:

    <benutzerdefiniertes Installationsverzeichnis>/opt/novell/sentinel/bin/si_db.sh stop

  8. Führen Sie die folgenden Schritte aus, um verschlüsselte Passwortfelder hinzuzufügen:

    1. Führen Sie folgenden Befehl aus, um das verschlüsselte Passwort für den Benutzer novell abzurufen:

      <benutzerdefiniertes Installationsverzeichnis>/opt/novell/sentinel/bin/encryptpwd -e novell

      Das verschlüsselte Passwort wird angezeigt. Beispiel:

      bVWOzu6okMmMCkgM0aHeQ==

    2. Aktualisieren Sie in der Datei configuration.properties die Eigenschaften baselining.sidb.password und baselining.sidb.dbpassword mit dem verschlüsselten Passwort. Beispiel:

      baselining.sidb.password=9bVWOzu6okMmMCkgM0aHeQ==

      baselining.sidb.dbpassword=9bVWOzu6okMmMCkgM0aHeQ==

  9. Beenden Sie mit dem Benutzerkonto novell und starten Sie Sentinel mit dem folgenden Befehl mit dem root-Benutzer:

    rcsentinel start

HINWEIS:Führen Sie immer bei Bedarf das Skript configure.sh aus, um das Passwort zurückzusetzen. Weitere Informationen zum Ausführen des Skripts configure.sh finden Sie unter Modifying the Configuration after Installation (Bearbeiten der Konfiguration nach der Installation) im NetIQ Sentinel Installation and Configuration Guide (NetIQ Sentinel-Installations- und -Konfigurationshandbuch).

4.26 Sentinel konfiguriert nicht standardmäßig die Netzwerkschnittstelle der Sentinel-Appliance

Problem: Die Sentinel-Appliance-Netzwerkschnittstelle ist nicht standardmäßig konfiguriert. (BUG 867013)

Behelfslösung: So konfigurieren Sie die Netzwerkschnittstelle:

  1. Klicken Sie auf der Seite Netzwerkkonfiguration auf Network Interfaces (Netzwerkschnittstellen).

  2. Wählen Sie die Netzwerkschnittstelle aus und klicken Sie auf Bearbeiten.

  3. Wählen Sie Dynamic Address (Dynamische Adresse) und dann entweder DHCP oder Static assigned IP Address (Statisch zugewiesene IP-Adresse).

  4. Klicken Sie auf Weiter und dann auf OK.

4.27 Beim Exportieren der Suchergebnisse in Sentinel wird im Webbrowser ein Fehler angezeigt

Problem: Beim Exportieren von Suchergebnissen in Sentinel wird im Webbrowser ggf. ein Fehler angezeigt, wenn Sie die Spracheinstellungen für das Betriebssystem ändern. (BUG 834874)

Behelfslösung: Zum fehlerfreien Exportieren der Suchergebnisse führen Sie einen der folgenden Schritte aus:

  • Entfernen Sie beim Exportieren der Suchergebnisse alle Sonderzeichen (außerhalb der ASCII-Zeichen) aus dem Exportdateinamen.

  • Aktivieren Sie UTF-8 in den Spracheinstellungen des Betriebssystems, starten Sie den Computer neu und starten Sie dann den Sentinel-Server neu.

4.28 Partitionen, die aus dem Sekundärspeicher entfernt werden, werden auch aus dem Primärspeicher entfernt

Problem: Wenn der Zeitraum (in Tagen), über den die Daten im Sekundärspeicher verbleiben dürfen, kürzer ist als der Zeitraum (in Tagen) für den Primärspeicher, kann Sentinel den Speicherplatz im Primärspeicher nicht effektiv nutzen. Partitionen, die zum Freigeben von Speicherplatz aus dem Sekundärspeicher entfernt werden, werden auch aus dem Primärspeicher entfernt. (BUG 860888)

Behelfslösung: Ordnen Sie dem Sekundärspeicher ausreichend Speicherplatz zu, damit die Daten über den gesamten vorgesehenen Zeitraum (in Tagen) online und damit suchbar bleiben.

Weitere Informationen finden Sie unter Event Data (Ereignisdaten) im NetIQ Sentinel Administration Guide (NetIQ-Sentinel-Administrationshandbuch).

4.29 Sentinel-Services starten nach der Installation unter Umständen nicht automatisch

Problem: Auf Systemen mit mehr als 2 TB Speicherplatz wird Sentinel nach der Installation unter Umständen nicht automatisch gestartet. (BUG 846296)

Behelfslösung: Starten Sie die Sentinel-Services einmalig manuell, indem Sie den folgenden Befehl eingeben:

rcsentinel start

4.30 Kerberos-Authentifizierung kann in Sentinel-Appliance-Installationen nicht aktiviert werden

Problem: Wenn Sie in Sentinel-Appliance-Installationen im Kerberos-Modul die Kerberos-Authentifizierung konfigurieren, wird in der Konsole eine Bestätigungsmeldung zur erfolgreichen Konfiguration des Kerberos-Client angezeigt. Wenn Sie das Kerberos-Modul jedoch erneut anzeigen, ist die Option Kerberos-Authentifizierung aktivieren nicht ausgewählt. (BUG 843623)

Behelfslösung: Momentan lässt sich dieses Problem nicht umgehen.

4.31 Remote Collector Manager kann nicht installiert werden, wenn das Passwort Sonderzeichen enthält

Problem: Wenn Sie bei der Installation eines Remote-Collector-Managers ein Passwort angeben, das Sonderzeichen wie „$“, „"“, „\“ oder „/“ enthält, tritt bei der Installation ein Fehler tritt auf. (BUG 812111)

Behelfslösung: Verwenden Sie keine Sonderzeichen im Passwort für den Remote Collector Manager.

4.32 Beim Neustarten eines Remote Collector Manager wird die Verbindung einiger Ereignisquellen unterbrochen

Problem: Beim Neustarten einer Remote Collector Manager-Appliance wird die Verbindung der Syslog-Ereignisquellen unterbrochen, die mit dem UDP-Port verbunden sind. (BUG 795057)

Behelfslösung: Momentan lässt sich dieses Problem nicht umgehen.

4.33 Die Anzeige von mehreren Berichten gleichzeitig ist nicht möglich

Problem: Wenn Sie darauf warten, dass eine PDF-Datei mit Berichtergebnissen angezeigt wird (insbesondere Berichtsergebnisse von 1 Million Ereignissen) und währenddessen auf eine andere PDF-Datei mit Berichtergebnissen klicken, um diese anzuzeigen, dann werden die Berichtergebnisse nicht angezeigt. (BUG 804683)

Behelfslösung: Klicken Sie erneut auf die zweite PDF-Datei mit Berichtergebnissen, um diese anzuzeigen.

4.34 Bei aktiviertem FIPS-140-2-Modus verlangt der Agentenmanager die SQL-Authentifizierung

Problem: Wenn der FIPS-140-2-Modus in der Sentinel-Umgebung aktiviert ist, führt die Windows-Authentifizierung mit dem Agentenmanager dazu, dass die Synchronisierung mit der Agentenmanager-Datenbank fehlschlägt. (BUG 814452)

Behelfslösung: Verwenden Sie die SQL-Authentifizierung für den Agentenmanager, wenn der FIPS-140-2-Modus in der Sentinel-Umgebung aktiviert ist.

4.35 Sentinel-Hochverfügbarkeitsinstallation im FIPS-140-2-Modus gibt einen Fehler zurück

Problem: Wenn der FIPS-140-2-Modus aktiviert ist, wird bei der Sentinel-Hochverfügbarkeitsinstallation der folgende Fehler angezeigt:

Die Datei 'configuration.properties' von Sentinel ist falsch. Überprüfen Sie die Konfigurationsdatei und führen Sie das Skript 'convert_to_fips.sh' erneut aus, um den FIPS-Modus in Sentinel-Server zu aktivieren.

Die Installation wird jedoch erfolgreich abgeschlossen. (BUG 817828)

Behelfslösung: Momentan lässt sich dieses Problem nicht beheben oder umgehen. Die Sentinel-Hochverfügbarkeitskonfiguration funktioniert problemlos im FIPS-140-2-Modus, obwohl das Installationsprogramm den Fehler zurückgibt.

4.36 Sentinel-Hochverfügbarkeitsinstallation im Nicht-FIPS-140-2-Modus gibt einen Fehler zurück

Problem: Die Sentinel-Hochverfügbarkeitsinstallation im Nicht-FIPS-140-2-Modus wird erfolgreich abgeschlossen, es wird jedoch zweimal der folgende Fehler angezeigt:

/opt/novell/sentinel/setup/configure.sh: line 1045: [: zu viele Argumente

(BUG 810764)

Behelfslösung: Momentan lässt sich dieses Problem nicht beheben oder umgehen. Die Sentinel-Hochverfügbarkeitskonfiguration funktioniert problemlos im Nicht-FIPS-140-2-Modus, obwohl das Installationsprogramm den Fehler zurückgibt.

4.37 Fehler bei der Appliance-Aktualisierung in WebYaST von Versionen vor Sentinel 7.2

Problem: Bei Appliance-Aktualisierungen von Versionen vor Sentinel 7.2 tritt ein Fehler auf, weil der Hersteller der Aktualisierungspakete von Novell zu NetIQ geändert wurde. (BUG 780969)

Behelfslösung: Rüsten Sie die Appliance mit dem Befehl "zypper" auf. Weitere Informationen finden Sie unter Upgrading the Appliance by Using zypper (Aufrüsten der Appliance mit zypper) im NetIQ Sentinel Installation and Configuration Guide (Installations- und Konfigurationshandbuch für NetIQ Sentinel).

4.38 Fehler beim Installieren von Korrelationsregeln

Problem: Solution Manager installiert keine Korrelationsregeln, wenn eine Korrelationsregel mit einem identischen Namen bereits im System vorhanden ist. In der Konsole wird der Fehler NullPointerException protokolliert. (BUG 713962)

Behelfslösung: Stellen Sie sicher, dass alle Korrelationsregeln einen eindeutigen Namen haben.

4.39 Sentinel-Link-Aktion zeigt falsche Meldung an

Problem: Beim Ausführen einer Sentinel-Link-Aktion über die Sentinel-Weboberfläche zeigt Sentinel eine Meldung zum erfolgreichen Abschluss an, auch wenn bei der Sentinel-Link-Connector-Integrationsprüfung vom Sentinel Control Center Fehler aufgetreten sind. (BUG 710305)

Behelfslösung: Momentan lässt sich dieses Problem nicht umgehen.

4.40 Dashboard und Abweichungsdefinitionen mit identischen Namen

Problem: Wenn ein Sicherheitsintelligenz-Dashboard und eine Abweichungsdefinition identische Namen haben, wird der Dashboard-Link auf der Abweichungsdetailseite deaktiviert. (BUG 715986)

Behelfslösung: Stellen Sie sicher, dass Sie beim Erstellen von Dashboards und Abweichungsdefinitionen eindeutige Namen verwenden.

4.41 Ungenaue Angaben in den Spalten „Dauer“ und „Zugegriffen“ für aktive Suchaufträge

Problem: Die Sentinel-Weboberfläche zeigt negative Zahlen in der Spalte mit der Dauer der aktiven Suchaufträge und in der Spalte „Zugegriffen“ an, wenn die Uhrzeit des Sentinel-Weboberflächencomputers hinter der Sentinel-Serveruhrzeit liegt. Beispielsweise zeigen die Spalten „Dauer“ und „Zugegriffen“ negative Zahlen an, wenn die Uhrzeit des Sentinel-Weboberflächencomputers 13:30 Uhr und die des Sentinel-Servers 14:30 Uhr ist. (BUG 719875)

Behelfslösung: Stellen Sie sicher, dass die Uhrzeit auf dem Computer, den Sie zum Zugriff auf die Sentinel-Weboberfläche verwenden, der Uhrzeit des Sentinel-Servers entspricht bzw. nach der Uhrzeit des Sentinel-Servers liegt.

4.42 Auditereignis „IssueSAMLToken“ zeigt falsche Informationen im Sicherheitsintelligenz-Dashboard an

Problem: Wenn Sie sich beim Sicherheits-Dashboard anmelden und nach dem IssueSAMLToken-Auditereignis suchen, zeigt das IssueSAMLToken-Auditereignis einen falschen Hostnamen (InitiatorUserName) oder eine falsche IP-Adresse (SourceIP) an. (BUG 870609)

Behelfslösung: Momentan lässt sich dieses Problem nicht umgehen.

4.43 Sentinel Control Center wird nicht gestartet, wenn NetIQ Identity Manager Designer auf dem Clientcomputer installiert ist

Problem: Sentinel Control Center wird nicht gestartet, wenn NetIQ Identity Manager Designer auf dem Clientcomputer installiert ist und das JRE-System verwendet. Designer muss einige unterstützende JAR-Dateien wie xml-apis.jar zum Verzeichnis lib/endorsed hinzufügen. Einige Klassen in der Datei xml-apis.jar überschreiben die entsprechenden Klassen im JRE-System, das von Sentinel Control Center verwendet wird. (BUG 888085)

Behelfslösung: Konfigurieren Sie Designer zur Verwendung des eigenen JRE-Systems.

4.44 Sentinel Agent Manager erfasst keine Windows-Einfügungszeichenketten mit dem Wert „null“

Problem: Beim Sammeln von Ereignisdaten erfasst der Sentinel Agent Manager keine Windows-Einfügungszeichenketten, die den Wert „null“ enthalten. (BUG 838825)

Behelfslösung: Momentan lässt sich dieses Problem nicht umgehen.

5.0 Kontaktangaben

Wir möchten Ihnen stets eine nützliche, aussagekräftige Dokumentation an die Hand geben. Sie haben Verbesserungsvorschläge? Dann senden Sie sie uns per Email an Documentation-Feedback@netiq.com. Wir freuen uns auf Ihre Rückmeldung.

Ausführliche Kontaktinformationen finden Sie auf der Website mit den Support-Kontaktangaben.

Allgemeine Informationen zu unserem Unternehmen und unseren Produkten finden Sie auf der NetIQ-Firmenwebsite.

Werden Sie Mitglied in unserer Community, und führen Sie interaktive Gespräche mit Fachkollegen und NetIQ-Experten. In der NetIQ-Online-Community finden Sie Produktinformationen, Links zu nützlichen Ressourcen, Blogs und Social-Media-Kanäle.