Sentinel 7.4 Service Pack 3 – Versionshinweise

Problem: Sentinel empfängt keine Ereignisse über Sentinel Link Connector. (Bug 996775)

Behelfslösung: Sentinel Link Connector Version 2011.1r4 behebt dieses Problem. Bis zur offiziellen Freigabe auf der Sentinel-Plugins-Website können Sie die Vorschauversion des Connectors aus dem Bereich Preview (Vorschau) herunterladen.

Problem: NetIQ eDirectory Instrumentation kann über den Plattform-Agenten keine Verbindung zum Audit-Connector herstellen. Sentinel empfängt daher keine Ereignisse von eDirectory. Diese Problem tritt auf, weil eDirectory Instrumentation den Zertifikatsalgorithmus MD5 RSA verwendet, der seit dem in Sentinel 7.4 SP3 verwendeten Java 8 Update 77 veraltet ist. (Bug 985312)

Behelfslösung: Um eDirectory Instrumentation zur Verwendung eines benutzerdefinierten Zertifikats einzurichten, führen Sie die im NetIQ-Knowledgebase-Artikel 7017764 aufgeführten Schritte aus.

Problem: Beim Aufrüsten der Appliance auf Version 7.4 SP1 oder höher zeigt Sentinel die folgende Warnmeldung an:

Behelfslösung: Ignorieren Sie die Warnmeldung. Sie beeinträchtigt die Aufrüstung nicht.

Problem: Mit Sentinel SDK können keine Berichte erstellt werden. (Bug 966406)

Behelfslösung: Führen Sie die im NetIQ-Knowledgebase-Artikel 7017293 beschriebenen Schritte aus, um Berichte mit Sentinel SDK zu erstellen.

Problem: Wird Sentinel in Sentinel High Availability (HA) durch die Aktualisierung von Konfigurationsdateien oder Änderungen an der Sentinel-Webschnittstelle im aktiven Knoten angepasst, werden die Änderungen nicht in den passiven Knoten übernommen. Die Synchronisierung muss manuell gestartet werden.

Behelfslösung: Bei Änderung einer Konfigurationsdatei oder Änderungen an Dateien aufgrund von Änderungen in der Sentinel-Webschnittstelle fügen Sie die betreffende Datei oder das betreffende Verzeichnis manuell für die Synchronisierung hinzu. Gehen Sie dazu wie folgt vor:

Problem: Im Rahmen der in Sentinel 7.3 SP1 enthaltenen Korrekturen für Sicherheitsschwachstellen wurden Änderungen am Kommunikationsmechanismus für gesicherte Verbindungen eingeführt. Diese Änderungen sind nicht mit dem Sentinel-UNIX-Agenten 7.4 kompatibel. Daher kann Sentinel keine Ereignisse vom Sentinel-UNIX-Agenten 7.4 empfangen. (Bug 953990)

Behelfslösung: Momentan lässt sich dieses Problem nicht umgehen. Das Problem wird behoben, sobald eine kompatible Version des Sentinel-UNIX-Agenten verfügbar ist.

Problem: Sentinel zeigt einen Fehler an, wenn Sie versuchen, NFS weiterhin als Sekundärspeicher zu nutzen, nachdem Sie die Sentinel-Appliance auf Version 7.3 SP1 oder höher aufgerüstet haben. (Bug 934851)

Behelfslösung: Starten Sie das SLES-Betriebssystem nach dem Aufrüsten auf die Sentinel-Appliance mit dem folgenden Befehl neu:

Problem: Wenn Sie Sentinel von Version 7.3 auf Version 7.3 SP1 aufrüsten und dann den Sentinel-Server starten, kann die folgende Ausnahme im Serverprotokoll angezeigt werden:

Behelfslösung: Ignorieren Sie die Ausnahme. Diese Ausnahme wirkt sich nicht auf die Leistung von Sentinel aus.

Problem: Sentinel kommuniziert über das Diffie-Hellman-Protokoll mit Secure Configuration Manager. Im Rahmen der Behebung der Logjam-Schwachstelle wurde die Größe des Zertifikatsschlüssels für das Diffie-Hellman-Protokoll in Sentinel auf 2048 erhöht. Secure Configuration Manager verwendet jedoch weiterhin die standardmäßige Zertifikatsschlüsselgröße (1024). Aufgrund dieser Abweichung kann Secure Configuration Manager nicht mehr mit Sentinel kommunizieren. (Bug 935987)

Behelfslösung: Rüsten Sie den Secure Configuration Manager auf Version 6.1 auf. Weitere Informationen finden Sie in den NetIQ Secure Configuration Manager 6.1 Release Notes.

Problem: In den Warnmeldungsansichten und Warnmeldungs-Dashboards von Sentinel werden keine Warnmeldungen angezeigt, die eine IPv6-Adresse im Feld „IP-Adresse“ enthalten. (Bug 924874)

Behelfslösung: Zum Anzeigen von Warnmeldungen mit IPv6-Adressen in Sentinel führen Sie die Schritte im NetIQ-Knowledgebase-Artikel 7016555 aus.

Problem: In Sentinel Link-Connector ist die Bar-Mitzvah-Sicherheitsschwachstelle vorhanden. Der Sentinel Link-Connector verwendet den RC4-Algorithmus im SSL- und TSL-Protokoll, so dass unter Umständen Plaintext-Recovery-Angriffe auf die ersten Byte in einem Datenstrom möglich sind. Weitere Informationen finden Sie unter CVE-2015-2808. (Bug 933741)

Behelfslösung: Sentinel Link Connector Version 2011.1r4 behebt dieses Problem. Bis zur offiziellen Freigabe auf der Sentinel-Plugins-Website können Sie den Connector aus dem Bereich Preview (Vorschau) herunterladen.

Problem: Der Agent Manager-Connector Version 2011.1r3 legt die Eigenschaft CONNECTION_MODE in den Ereignissen nicht fest, wenn der Collector, der die Ereignisse analysiert, mehrere Verbindungsmodi unterstützt. (Bug 880564)

Behelfslösung: Der Agent Manager-Connector Version 2011.1r5 und höher behebt das Problem. Bis zur offiziellen Freigabe auf der Sentinel-Plugins-Website können Sie den Connector aus dem Bereich Preview (Vorschau) herunterladen.

Problem: Sentinel Agent Manager ignoriert den Wert, der für das Attribut RawDataTapFileSize in der Datei SMServiceHost.exe.config für die Konfiguration der Rohdatendateigröße angegeben ist, und schreibt nicht mehr in die Rohdatendatei, wenn die Dateigröße 10 MB erreicht. (Bug 867954)

Behelfslösung: Kopieren Sie den Inhalt der Rohdatendatei in eine andere Datei und löschen Sie die Datei, wenn ihre Größe 10 MB erreicht, damit Sentinel Agent Manager erneut Daten in die Datei schreiben kann.

Problem: Wenn Sie in aufgerüsteten Installationen von Sentinel in der Tipps-Tabelle in der Weboberfläche Warnmeldungsattribute suchen, gibt die Suche nicht die vollständige Liste der Warnmeldungsfelder zurück. Wenn Sie die Suche löschen, werden die Warnmeldungsfelder jedoch richtig in der Tipps-Tabelle angezeigt. (Bug 914755)

Behelfslösung: Momentan lässt sich dieses Problem nicht umgehen.

Problem: Bei der Datensynchronisierung tritt ein Fehler auf, wenn Sie versuchen, IPv6-Adressfelder im menschenlesbaren Format für externe Datenbanken zu synchronisieren. Weitere Informationen über das Konfigurieren von Sentinel zum Auffüllen der IP-Adressfelder in menschenlesbarer Dezimalpunktschreibweise finden Sie unter Creating a Data Synchronization Policy (Erstellen einer Datensynchronisierungsrichtlinie) im NetIQ Sentinel Administration Guide (NetIQ Sentinel-Administrationshandbuch). (Bug 913014)

Behelfslösung: Ändern Sie zur Behebung dieses Problems die maximale Größe der IP-Adressfelder in der Zieldatenbank auf mindestens 46 Zeichen und synchronisieren Sie die Datenbank erneut.

Problem: Wenn Sie eine Ereignissuche ausführen während der Sicherheitsfilter Ihrer Rolle leer ist und die Rolle über keine Berechtigungen zur Ereignisanzeige verfügt, wird die Suche nicht abgeschlossen. Die Suche zeigt keine Fehlermeldung zu den ungültigen Berechtigungen für die Ereignisanzeige an. (Bug 908666)

Behelfslösung: Aktualisieren Sie die Rolle auf eine der folgenden Weisen:

Problem: Wenn Sie eine gespeicherte Suche bearbeiten, die von Sentinel 7.2 auf eine spätere Version aufgerüstet wurde, fehlt auf der Zeitplanseite der Bereich Ereignisfelder, in dem die Ausgabefelder für die CSV-Datei mit den Suchergebnissen festgelegt werden. (Bug 900293)

Behelfslösung: Erstellen und planen Sie die Suche nach der Aufrüstung von Sentinel neu, damit der Bereich Ereignisfelder auf der Zeitplanseite angezeigt wird.

Problem: Sentinel gibt keine korrelierten Ereignisse zurück, wenn Sie zum Suchen aller korrelierten Ereignisse, die nach dem Bereitstellen oder Aktivieren der Regel generiert wurden, auf der Korrelationsübersichtsseite der Regel im Bereich Aktivitätsstatistik auf das Symbol Ausgelöste Anzahl klicken. (Bug 912820)

Behelfslösung: Ändern Sie den Wert im Feld Von auf der Seite der Ereignissuche in einen Wert, der einen Zeitpunkt vor der im Feld aufgefüllten Zeit darstellt, und klicken Sie erneut auf Suchen.

Problem: Wenn Sie in der Warnmeldungsansicht auf Alle auswählen klicken, um Warnmeldungen auszuwählen, und dann die Auswahl einiger Warnmeldungen aufheben und diese Warnmeldungen bearbeiten, sind neue eingehende Warnmeldungen in der aktualisierten Warnmeldungsansicht ebenfalls ausgewählt. Dies führt zu einer falschen Anzahl der zur Bearbeitung ausgewählten Warnmeldungen und es könnte angenommen werden, dass neue eingehende Warnmeldungen ebenfalls geändert werden. Es werden jedoch nur die ursprünglich ausgewählten Warnmeldungen bearbeitet. (Bug 904830)

Behelfslösung: Wenn Sie die Warnmeldungsansicht mit einem benutzerdefinierten Zeitraum erstellen, werden keine neuen Warnmeldungen in der Warnmeldungsansicht angezeigt.

Problem: Das Laden von Verlaufsdaten der Sicherheitsintelligenz (SI) in Sentinel-Systeme mit hoher EPS-Last dauert lange. (Bug 908599)

Behelfslösung: Wenn Sie ein Sicherheitsintelligenz-Dashboard mit Verlaufsdaten erstellen, planen Sie die Bereitstellung des Dashboards wenn möglich für einen Zeitpunkt mit niedriger Systemlast. Momentan lässt sich dieses Problem nicht anders umgehen.

Problem: Während der erneuten Generierung der Sicherheitsintelligenz-Grundkonfiguration werden das Start- und Enddatum falsch als „1.1.1970“ angezeigt. (Bug 912009)

Behelfslösung: Wenn die Neugenerierung der Grundkonfiguration abgeschlossen ist, werden die richtigen Daten angezeigt.

Problem: Der Sentinel-Server wird heruntergefahren, wenn eine Suche ausgeführt wird und eine einzelne Partition eine große Anzahl Ereignisse enthält. (Bug 913599)

Behelfslösung: Erstellen Sie Beibehaltungsrichtlinien so, dass an einem Tag mindestens zwei Partitionen geöffnet sind. Wenn mehrere Partitionen geöffnet sind, wird die Anzahl der in den Partitionen indexierten Ereignisse reduziert.

Problem: Sentinel zeigt einen Fehler an, wenn Sie Sentinel-Ports für Firewall-Ausnahmen mit dem Skript report_dev_setup.sh konfigurieren. (Bug 914874)

Behelfslösung: Führen Sie die folgenden Schritte aus, um Sentinel-Ports für Firewall-Ausnahmen zu konfigurieren:

Problem: Die Leistung des generischen Sentinel-Collectors sinkt, wenn der generische Collector für den Hostnamen-Auflösungsdienst unter Microsoft Active Directory und Windows Collector aktiviert wird. Die EPS sinkd um 50 %, wenn Remote-Collector-Manager Ereignisse senden. (Bug 906715)

Behelfslösung: Momentan lässt sich dieses Problem nicht umgehen.

Problem: Wenn Sie Sentinel im FIPS-140-2-Modus installieren, kann der Connector zur Sicherheitsintelligenzdatenbank nicht gestartet werden, und Sentinel hat keinen Zugriff auf Sicherheitsintelligenzdaten, NetFlow-Daten und Warnmeldungsdaten. (Bug 915241)

Behelfslösung: Starten Sie Sentinel neu, nachdem Sie es im FIPS-140-2-Modus installiert und konfiguriert haben.

Problem: Wenn Sie von einer benutzerdefinierten Installation von Sentinel, die mit einem Nicht-root-Benutzer installiert und im FIPS-140-2-Modus konfiguriert wurde, auf Sentinel aufrüsten, werden die Sicherheitsintelligenzdatenbank und das Warnmeldungs-Dashboard gelegentlich nicht gestartet. (Bug 916285)

Behelfslösung: Führen Sie die folgenden Schritte aus:

Problem: Die Sentinel-Appliance-Netzwerkschnittstelle ist nicht standardmäßig konfiguriert. (Bug 867013)

Behelfslösung: So konfigurieren Sie die Netzwerkschnittstelle:

Problem: Beim Exportieren von Suchergebnissen in Sentinel wird im Webbrowser ggf. ein Fehler angezeigt, wenn Sie die Spracheinstellungen für das Betriebssystem ändern. (Bug 834874)

Behelfslösung: Zum fehlerfreien Exportieren der Suchergebnisse führen Sie einen der folgenden Schritte aus:

Problem: Auf Systemen mit mehr als 2 TB Speicherplatz wird Sentinel nach der Installation unter Umständen nicht automatisch gestartet. (Bug 846296)

Behelfslösung: Starten Sie die Sentinel-Services einmalig manuell, indem Sie den folgenden Befehl eingeben:

Problem: Wenn Sie in Sentinel-Appliance-Installationen im Kerberos-Modul die Kerberos-Authentifizierung konfigurieren, wird in der Konsole eine Bestätigungsmeldung zur erfolgreichen Konfiguration des Kerberos-Client angezeigt. Wenn Sie das Kerberos-Modul jedoch erneut anzeigen, ist die Option Kerberos-Authentifizierung aktivieren nicht ausgewählt. (Bug 843623)

Behelfslösung: Momentan lässt sich dieses Problem nicht umgehen.

Problem: Wenn Sie darauf warten, dass eine PDF-Datei mit Berichtergebnissen angezeigt wird (insbesondere Berichtsergebnisse von 1 Million Ereignissen) und währenddessen auf eine andere PDF-Datei mit Berichtergebnissen klicken, um diese anzuzeigen, dann werden die Berichtergebnisse nicht angezeigt. (Bug 804683)

Behelfslösung: Klicken Sie erneut auf die zweite PDF-Datei mit Berichtergebnissen, um diese anzuzeigen.

Problem: Wenn der FIPS-140-2-Modus in der Sentinel-Umgebung aktiviert ist, führt die Windows-Authentifizierung mit dem Agentenmanager dazu, dass die Synchronisierung mit der Agentenmanager-Datenbank fehlschlägt. (Bug 814452)

Behelfslösung: Verwenden Sie die SQL-Authentifizierung für den Agentenmanager, wenn der FIPS-140-2-Modus in der Sentinel-Umgebung aktiviert ist.

Problem: Wenn der FIPS-140-2-Modus aktiviert ist, wird bei der Sentinel-Hochverfügbarkeitsinstallation der folgende Fehler angezeigt:

Behelfslösung: Momentan lässt sich dieses Problem nicht beheben oder umgehen. Die Sentinel-Hochverfügbarkeitskonfiguration funktioniert problemlos im FIPS-140-2-Modus, obwohl das Installationsprogramm den Fehler zurückgibt.

Problem: Die Sentinel-Hochverfügbarkeitsinstallation im Nicht-FIPS-140-2-Modus wird erfolgreich abgeschlossen, es wird jedoch zweimal der folgende Fehler angezeigt:

Behelfslösung: Momentan lässt sich dieses Problem nicht beheben oder umgehen. Die Sentinel-Hochverfügbarkeitskonfiguration funktioniert problemlos im Nicht-FIPS-140-2-Modus, obwohl das Installationsprogramm den Fehler zurückgibt.

Problem: Bei Appliance-Aktualisierungen von Versionen vor Sentinel 7.2 tritt ein Fehler auf, weil der Hersteller der Aktualisierungspakete von Novell zu NetIQ geändert wurde. (Bug 780969)

Behelfslösung: Rüsten Sie die Appliance mit dem Befehl "zypper" auf. Weitere Informationen finden Sie unter Upgrading the Appliance by Using zypper (Aufrüsten der Appliance mit zypper) im NetIQ Sentinel Installation and Configuration Guide (Installations- und Konfigurationshandbuch für NetIQ Sentinel).

Problem: Solution Manager installiert keine Korrelationsregeln, wenn eine Korrelationsregel mit einem identischen Namen bereits im System vorhanden ist. In der Konsole wird der Fehler NullPointerException protokolliert. (Bug 713962)

Behelfslösung: Stellen Sie sicher, dass alle Korrelationsregeln einen eindeutigen Namen haben.

Problem: Beim Ausführen einer Sentinel-Link-Aktion über die Sentinel-Weboberfläche zeigt Sentinel eine Meldung zum erfolgreichen Abschluss an, auch wenn bei der Sentinel-Link-Connector-Integrationsprüfung vom Sentinel Control Center Fehler aufgetreten sind. (Bug 710305)

Behelfslösung: Momentan lässt sich dieses Problem nicht umgehen.

Problem: Wenn ein Sicherheitsintelligenz-Dashboard und eine Abweichungsdefinition identische Namen haben, wird der Dashboard-Link auf der Abweichungsdetailseite deaktiviert. (Bug 715986)

Behelfslösung: Stellen Sie sicher, dass Sie beim Erstellen von Dashboards und Abweichungsdefinitionen eindeutige Namen verwenden.

Problem: Die Sentinel-Weboberfläche zeigt negative Zahlen in der Spalte mit der Dauer der aktiven Suchaufträge und in der Spalte „Zugegriffen“ an, wenn die Uhrzeit des Sentinel-Weboberflächencomputers hinter der Sentinel-Serveruhrzeit liegt. Beispielsweise zeigen die Spalten „Dauer“ und „Zugegriffen“ negative Zahlen an, wenn die Uhrzeit des Sentinel-Weboberflächencomputers 13:30 Uhr und die des Sentinel-Servers 14:30 Uhr ist. (Bug 719875)

Behelfslösung: Stellen Sie sicher, dass die Uhrzeit auf dem Computer, den Sie zum Zugriff auf die Sentinel-Weboberfläche verwenden, der Uhrzeit des Sentinel-Servers entspricht bzw. nach der Uhrzeit des Sentinel-Servers liegt.

Problem: Wenn Sie sich beim Sicherheits-Dashboard anmelden und nach dem IssueSAMLToken-Auditereignis suchen, zeigt das IssueSAMLToken-Auditereignis einen falschen Hostnamen (InitiatorUserName) oder eine falsche IP-Adresse (SourceIP) an. (Bug 870609)

Behelfslösung: Momentan lässt sich dieses Problem nicht umgehen.

Problem: Beim Sammeln von Ereignisdaten erfasst der Sentinel Agent Manager keine Windows-Einfügungszeichenketten, die den Wert „null“ enthalten. (Bug 838825)

Behelfslösung: Momentan lässt sich dieses Problem nicht umgehen.