NetIQ Sentinel 7.1.1-Versionshinweise

November 2013

Sentinel 7.1.1 enthält verschiedene Verbesserungen und Korrekturen früherer Fehler. Dieses Dokument erläutert, warum Sie dieses Service Pack installieren sollten.

Viele der eingeführten Verbesserungen sind Umsetzungen von Vorschlägen unserer Kunden. Wir möchten uns auf diesem Wege bei Ihnen für Ihr wertvolles Feedback bedanken. Wir hoffen, Sie unterstützen uns weiterhin dabei, unsere Produkte optimal an Ihre Bedürfnisse anzupassen. Feedback können Sie in unseren Sentinel Community Support-Foren auf unserer Community-Website posten, auf der Sie auch Produktbenachrichtigungen, Blogs und Produktbenutzergruppen finden.

Weitere Informationen zu diesem Service Pack und die aktuellen Versionshinweise finden Sie auf der Dokumentations-Website zu Sentinel 7.1.

1.0 Neue Funktionen

Die folgenden Abschnitte enthalten zusammenfassende Informationen zu den in diesem Service Pack enthaltenen Verbesserungen und Fehlerkorrekturen:

1.1 Unterstützte Betriebssysteme

Sentinel unterstützt nun zusätzlich folgende Betriebssystemversionen:

  • SUSE Linux Enterprise Server 11 Service Pack 3 (64-Bit)

  • Red Hat Enterprise Linux 6.4 (64-Bit) im FIPS-Modus

1.2 Einsatzbereites Lösungspaket für Netzwerksicherheit

Neue Installation von Sentinel 7.1.1 enthalten das Lösungspaket für Netzwerksicherheit, das Sie beim Beheben von Netzwerksicherheitsproblemen in Ihrem Unternehmen unterstützt. Das Lösungspaket bietet ein befehlsbasiertes Framework und eine Vielzahl an Berichten, mit der Sie die Netzwerksicherheit überwachen und verwalten können. Weitere Informationen zu diesem Lösungspaket finden Sie in der Dokumentation „Lösungspaket für Netzwerksicherheit“ auf der Website für Sentinel-Plugins.

Um dieses Lösungspaket in einer Aufrüstungsinstallation von Sentinel 7.1.1 zu verwenden, laden Sie es von der Website für Sentinel-Plugins herunter und installieren Sie es.

1.3 Neueste Plugins

Neuinstallationen von Sentinel 7.1.1 enthalten die aktuellen Versionen verschiedener Sentinel-Plugins. Diese Plugins enthalten die neuesten Softwarekorrekturen, Aktualisierungen der Dokumentation und Verbesserungen. Weitere Informationen finden Sie in der Dokumentation zum jeweiligen Plugin auf der Website für Sentinel-Plugins.

Die Aufrüstungsinstallation von Sentinel 7.1.1 aktualisiert den Syslog-Integrator auf Version 2011.1r1, die deutliche Leistungsverbesserungen bietet.

1.4 Erweiterungen

Dieses Lösungspaket bietet folgende Erweiterungen:

Java 7-Aufrüstung

Sentinel 7.1.1 enthält nun Java 7 Update 40, das Korrekturen für verschiedene Sicherheitsschwachstellen bietet.

HINWEIS:Zur Verwendung des Sentinel Control Center auf Clientcomputern mit Java 7 Update 40 muss im Java Control Panel die Protokollierung aktiviert werden. Weitere Informationen finden Sie unter Abschnitt 4.0, Bekannte Probleme.

Gruppieren von Ereignissen auf Grundlage der eindeutigen Werte der Ereignisfelder

Beim Erstellen von Korrelationsregeln können Sie Ereignisse nun nicht nur nach gleichen Werten, sondern auch nach eindeutigen Werten in den Ereignisfeldern gruppieren.

Sentinel bietet eine neue Benutzeroberfläche für die Gruppierung von Ereignissen in einer Korrelationsregel. Wählen Sie zum Gruppieren von Ereignissen die Dropdownliste Gruppieren nach aus und fügen Sie die gewünschten Ereignisfelder durch Ziehen und Ablegen je nach gewünschter Gruppierung zur Liste Nach Feldern gruppieren oder Eindeutige Felder hinzu.

Kategorisierung bevorzugter Berichte und Suchen

Sie können nun Ordner zum Speichern Ihrer bevorzugten Berichte und Suchen erstellen, sodass Sie diese leichter finden und verwalten können.

Leistungs- und Zuverlässigkeitsverbesserungen

Dieses Lösungspaket verbessert die Sentinel-Systemleistung bei Suchen und bei der Berichterstellung. Außerdem verbessert es die Systemstabilität bei hoher Auslastung.

Verbesserte Benutzerfreundlichkeit bei dynamischen Listen

Beim Erstellen dynamischer Listen ist es nun nicht mehr erforderlich, die Maximale Anzahl von Elementen manuell anzugeben. Sentinel legt für die maximale Anzahl von Elementen standardmäßig einen Wert von 1000 fest. Sie können diesen Wert je nach Bedarf anpassen.

Lebensdauer transienter Elemente kann in Minuten angegeben werden

Die Lebensdauer transienter Elemente kann wie bisher in Stunden und Tagen, und nun auch in Minuten angegeben werden. Diese Verbesserung ist besonders hilfreich, wenn Sie Listenelemente nur einige Minuten aktiv behalten möchten. Beispielsweise können Sie nun den Zugriff auf bestimmte Benutzerkonten oder IP-Adressen für 15 Minuten verweigern.

Automatische Sicherung von Konfigurationsdaten und Grundwertsammlungen der Sicherheitsintelligenz-Datenbank

Sie können Sentinel nun so konfigurieren, dass die Konfigurationsdaten und Grundwertsammlungen der Sicherheitsintelligenz-Datenbank vor der Aufrüstung automatisch gesichert werden. Bei aktivierter automatischer Sicherung dauert der Aufrüstungsvorgang länger und erfordert mehr Speicherplatz. Um abzuschätzen, wie viel Zeit und Speicherplatz zusätzlich erforderlich sind, führen Sie das Sicherungsprogramm manuell mit den Optionen -c und -b aus.

Gehen Sie folgendermaßen vor, um die automatische Datensicherung zu konfigurieren:

  1. Öffnen Sie die Datei /etc/opt/novell/sentinel/config/configuration.properties.

  2. Fügen Sie folgende Eigenschaft hinzu und legen Sie für den Wert „true“ fest:

    sentinel.upgrade.backup=true
    
  3. Speichern Sie die Änderungen.

Bei der Aufrüstung von Sentinel werden die Konfigurationsdaten und Grundwertsammlungen der Sicherheitsintelligenz-Datenbank automatisch gesichert. Die Sicherungsdateien werden im Verzeichnis /var/opt/novell/sentinel/data/updates gespeichert.

HINWEIS:Andere Daten, wie Ereignisdaten, Rohereignisdaten und die Sicherheitsintelligenzdatenbank, müssen je nach Bedarf manuell gesichert werden. Weitere Informationen zum Sichern und Wiederherstellen von Daten finden Sie im Abschnitt Backing Up and Restoring Data (Sichern und Wiederherstellen von Daten) im Sentinel 7.1 Administration Guide (Sentinel 7.1-Administrationshandbuch).

1.5 Softwarekorrekturen

Sentinel 7.1.1 umfasst Softwarekorrekturen für die folgenden Probleme. Eine Liste der Softwarekorrekturen und Erweiterungen in früheren Versionen finden Sie auf der Dokumentations-Website zu Sentinel 7.1.

Sentinel Control Center startet nicht mit Java 7 Update 45

Problem: Sentinel Control Center wird auf Clientcomputern mit Java 7 Update 45 nicht gestartet. (BUG 846699)

Korrektur: Sentinel Control Center wird auf Computern mit Java 7 Update 45 nun gestartet.

Das Nachrichtenfeld „Korreliertes Ereignis“ zeigt die Beschreibung der Korrelationsregel an

Problem: In Sentinel 7.1.0.1 und späteren Versionen wird im Nachrichtenfeld des korrelierten Ereignisses die Beschreibung der Korrelationsregel angezeigt, nicht die Beschreibung der Ereignisse, die das korrelierte Ereignis ausgelöst haben. Die Email-Warnmeldung zeigt ebenfalls die Beschreibung der Korrelationsregel an. (BUG 840953)

Korrektur: Sie können nun festlegen, dass im Nachrichtenfeld des korrelierten Ereignisses die Beschreibung der Ereignisse angezeigt wird, die das korrelierte Ereignis ausgelöst haben:

  1. Fügen Sie in der Datei $ESEC_CONFIG_HOME/config/configuration.properties folgende Eigenschaft hinzu:

    sentinel.correlation.eventformat=7.1
    
  2. Starten Sie den Sentinel-Server neu.

Active Directory-Authentifizierung kann nicht für WebYaST konfiguriert werden

Problem: Die Sentinel-Appliance enthält nicht die erforderlichen Module zur Konfiguration der Active Directory-Authentifizierung für WebYaST. (BUG 828616)

Korrektur: Die Sentinel-Appliance enthält nun die erforderlichen Module zur Unterstützung der Active Directory-Authentifizierung für WebYaST.

Berichte enthalten keine Ereignisse, die Nullwerte enthalten

Problem: Wenn die Ereignisfelder unter Gruppieren nach Nullwerte enthalten, fügt Sentinel die entsprechenden Ereignisse nicht zu den Berichten hinzu. (BUG 810398)

Korrektur: Die Berichte enthalten nun auch Ereignisse, die Nullwerte enthalten.

Die XML-Vorfalldatei enthält nicht die zum Vorfall hinzugefügten Ereignisse

Problem: Wenn Sie den Vorfallbefehl über die iTRAC-Workflow-Schablone ausführen, enthält die XML-Datei in den Anlagen keine Vorfalldetails und keine der dem Vorfall hinzugefügten Ereignisse. (BUG 796615)

Korrektur: Die XML-Datei enthält nun die Vorfalldetails und die Ereignisse, die dem Vorfall hinzugefügt wurden.

Einige Symbole werden im Internet Explorer 10 fehlerhaft dargestellt

Problem: Beim Anzeigen der Sentinel-Webkonsole mit Internet Explorer 10, werden im Browser einige Symbole falsch angezeigt. (BUG 807670)

Korrektur: Sentinel wird nun im Standardmodus gestartet und alle Symbole der Webkonsole werden richtig dargestellt.

Sentinel lässt den Zugriff auf MongoDB über die Mongo-Shell zu

Problem: Sentinel lässt den Zugriff auf Sicherheitsintelligenzinformationen in MongoDB über die Mongo-Shell zu. (BUG 842556)

Korrektur: Sentinel erfordert für den Zugriff auf die Sicherheitsintelligenzinformationen nun eine Authentifizierung bei MongoDB.

Bei der Secure LDAP-Authentifizierung tritt ein Fehler auf, obwohl das LDAP-Serverzertifikat von einer bekannten Zertifizierungsstelle signiert ist

Problem: Im Nicht-FIPS-Modus vertraut Sentinel bei der LDAP-Authentifizierung bekannten Zertifizierungsstellen (zum Beispiel Verisign). Wenn das LDAP-Serverzertifikat von einer bekannten Zertifizierungsstelle signiert ist und Sie das LDAP-Serverzertifikat nicht explizit in den LDAP-Einstellungen angeben, baut Sentinel keine sichere Verbindung zum LDAP-Server auf. Bei der LDAP-Authentifizierung tritt ein Fehler auf. (BUG 832626)

Korrektur: Sentinel vertraut nun bei der LDAP-Authentifizierung standardmäßig bekannten Zertifizierungsstellen.

Suchergebnisse mit über 50.000 Ereignissen können nicht in eine Excel-Datei exportiert werden

Problem: Es ist nicht möglich, Suchergebnisse mit mehr als 50.000 Ereignissen in eine Datei zu exportieren. (BUG 840027)

Korrektur: Sie können nun Suchergebnisse mit bis zu 200.000 Ereignissen in eine Datei exportieren.

Sentinel protokolliert beim Erstellen eines Dashboards Fehler

Problem: Wenn Sie ein Dashboard erstellen und Filter verwenden, bei denen die Ereignisfelder nicht in Anführungszeichen eingeschlossen sind, oder Filter, die Platzhalterzeichen (zum Beispiel * oder ?) enthalten, protokolliert Sentinel verschiedene Fehler. (BUG 821217)

Korrektur: Sentinel protokolliert keine Fehler mehr, wenn Sie ein Dashboard erstellen.

Der Firewall-Port ist nicht für den Ereignisquellenserver des Agentenmanagers geöffnet

Problem: In Aufrüstungsinstallationen der Sentinel 7.1-Appliance stellt Sentinel den Ereignisquellenserver des Agentenmanagers auf Port 1590 bereit. Der Port ist jedoch nicht offen, um eingehende TCP-Verbindungen anzunehmen. (BUG 827611)

Korrektur: Port 1590 ist nun zum Annehmen eingehender TCP-Verbindungen offen.

Die Option „Auslöser anzeigen“ zeigt ungültige Informationen an

Problem: Die Option Auslöser anzeigen zeigt Ereignisse an, die nicht Auslöser des Korrelationsereignisses sind. (BUG 832857)

Korrektur: Die Option Auslöser anzeigen zeigt nun nur Ereignisse an, die Auslöser des Korrelationsereignisses waren.

Sentinel protokolliert verschiedene Fehler in Bezug auf Datenbankverbindungen

Problem: Bei einer hohen EPS-Rate werden die Verbindungen zur Datenbank aufgrund mangelnder Ressourcenverfügbarkeit manchmal um mehrere Stunden verzögert. Sentinel protokolliert häufig den Fehler „Connection requested by thread has not been returned to pool“ (Vom Thread angeforderte Verbindung wurde nicht zum Pool zurückgegeben).(BUG 719244)

Korrektur: Sentinel bietet nun eine bessere Systemstabilität und Systemleistung, wodurch die Verzögerungen der Datenbankverbindungen reduziert werden.

Sentinel Control Center zeigt eine Warnmeldung zum Ablauf der Digitalsignatur an

Problem: Beim Starten von Sentinel Control Center wird die Warnmeldung „Sentinel Control Center digital signature has expired“ (Digitalsignatur für Sentinel Control Center ist abgelaufen) angezeigt. (BUG 816020)

Korrektur: Das Digitalzertifikat für Sentinel Control Center wurde erneuert.

2.0 Systemanforderungen

Sie können von Sentinel 7.0 oder höher auf Sentinel 7.1.1 aufrüsten.

Weitere Informationen zu Hardwareanforderungen, unterstützten Betriebssystemen und Browsern finden Sie unter Erfüllen der Systemanforderungen im NetIQ Sentinel 7.1-Installations- und Konfigurationshandbuch.

3.0 Aufrüsten auf Sentinel 7.1.1

Laden Sie das Service Pack von der Novell-Download-Website herunter. Sie können das Aufrüstungsinstallationsskript so konfigurieren, dass die Konfigurationsdaten und Grundwertsammlungen der Sicherheitsintelligenz-Datenbank vor der Aufrüstung von Sentinel gesichert werden. Weitere Informationen finden Sie unter Automatische Sicherung von Konfigurationsdaten und Grundwertsammlungen der Sicherheitsintelligenz-Datenbank.

Die folgenden Abschnitte enthalten Informationen über das Aufrüsten von Sentinel:

HINWEIS:Löschen Sie nach der Aufrüstung von Sentinel den Java Web Start-Cache auf den Clientcomputern, um die neueste Version der Sentinel-Anwendungen zu verwenden. Sie können den Java Web Start-Cache mit dem Befehl javaws -clearcache oder über das Java Control Center löschen. Weitere Informationen finden Sie unter http://www.java.com/en/download/help/plugin_cache.xml.

3.1 Aufrüsten von Sentinel

Weitere Informationen zur Aufrüstung von Sentinel 7.1.1 finden Sie unter „Aufrüsten von Sentinel“ im NetIQ Sentinel 7.1-Installations- und -Konfigurationshandbuch.

3.2 Aufrüsten herkömmlicher Hochverfügbarkeitsinstallationen

Wenn Sie eine herkömmliche Sentinel-Installation in einer Hochverfügbarkeitseinrichtung aufrüsten, rüsten Sie zuerst die passiven Knoten im Cluster und dann die aktiven Clusterknoten auf.

So rüsten Sie herkömmliche Hochverfügbarkeitsinstallationen auf:

  1. Aktivieren Sie den Wartungsmodus im Cluster:

    crm configure property maintenance-mode=true
    

    Der Wartungsmodus trägt dazu bei, Störungen der ausgeführten Clusterressourcen während der Aktualisierung von Sentinel zu vermeiden. Sie können den Befehl von einem beliebigen Clusterknoten aus ausführen.

  2. Überprüfen Sie, ob der Wartungsmodus aktiv ist:

    crm status
    

    Die Clusterressourcen sollten im Zustand „nicht verwaltet“ angezeigt werden.

  3. Rüsten Sie den passiven Clusterknoten auf:

    1. Stoppen Sie den Clusterstapel:

      rcopenais stop
      

      Durch Stoppen des Clusterstapels wird sichergestellt, dass die Ressourcen zugreifbar bleiben, und wird die Umgrenzung der Knoten verhindert.

    2. Melden Sie sich am Server, auf dem Sentinel aufgerüstet werden soll, als root an.

    3. Extrahieren Sie die Installationsdateien aus der TAR-Datei:

      tar xfz <install_filename>
      
    4. Führen Sie im Verzeichnis, in dem die Installationsdateien extrahiert wurden, folgenden Befehl aus:

      ./install-sentinel --cluster-node
      
    5. Starten Sie nach dem Abschluss der Aufrüstung den Clusterstapel neu:

      rcopenais start
      

      Wiederholen Sie Schritt 3 für alle passiven Clusterknoten.

  4. Rüsten Sie den aktiven Clusterknoten auf:

    1. Sichern Sie die Konfiguration, und erstellen Sie einen ESM-Export.

      Weitere Informationen zum Sichern von Daten finden Sie im Abschnitt Backing Up and Restoring Data (Sichern und Wiederherstellen von Daten) im NetIQ Sentinel 7.1 Administration Guide (NetIQ Sentinel 7.0.1-Administrationshandbuch) https://www.netiq.com/documentation/sentinel71/s71_admin/data/bookinfo.html#bookinfo.

    2. Stoppen Sie den Clusterstapel:

      rcopenais stop
      

      Durch Stoppen des Clusterstapels wird sichergestellt, dass die Ressourcen zugreifbar bleiben, und wird die Umgrenzung der Knoten verhindert.

    3. Melden Sie sich am Server, auf dem Sentinel aufgerüstet werden soll, als root an.

    4. Führen Sie den folgenden Befehl aus, um die Installationsdateien aus der TAR-Datei zu extrahieren:

      tar xfz <install_filename>
      
    5. Führen Sie im Verzeichnis, in dem die Installationsdateien extrahiert wurden, folgenden Befehl aus:

      ./install-sentinel 
      
    6. Starten Sie nach dem Abschluss der Aufrüstung den Clusterstapel:

      rcopenais start
      
  5. Deaktivieren Sie den Wartungsmodus im Cluster:

    crm configure property maintenance-mode=false
    

    Sie können den Befehl von einem beliebigen Clusterknoten aus ausführen.

  6. Überprüfen Sie, ob der Wartungsmodus inaktiv ist:

    crm status
    

    Die Clusterressourcen sollten im Zustand „gestartet“ angezeigt werden.

  7. (Optional:) Überprüfen Sie, ob die Sentinel-Aufrüstung erfolgreich war:

    rcsentinel version
    

3.3 Aufrüsten der Sentinel-Appliance-Version 7.0.1 oder früherer Versionen

Wenn Sie die Appliance von Sentinel 7.0.1 oder einer früheren Version aufrüsten, tritt bei der Aufrüstung in WebYaST ein Fehler auf, weil der Herstellername des Patches von „Novell“ in „NetIQ“ geändert wurde. Rüsten Sie die Appliance mit dem Befehl zypper patch aus.

So rüsten Sie die Appliance mit Zypper auf:

  1. Sichern Sie die Konfiguration, und erstellen Sie einen ESM-Export. Weitere Informationen finden Sie im Abschnitt Sichern und Wiederherstellen von Daten im NetIQ Sentinel 7.0.1-Administrationshandbuch.

  2. Melden Sie sich in der Appliance-Konsole als Benutzer root an.

  3. Führen Sie den folgenden Befehl aus:

    /usr/bin/zypper patch
    
  4. Geben Sie 1 ein, um den Anbieterwechsel von Novell zu NetIQ zu akzeptieren.

  5. Klicken Sie auf J, um fortzufahren.

  6. Geben Sie Ja ein, um die Lizenzvereinbarung zu akzeptieren.

  7. Starten Sie die Sentinel-Appliance neu.

3.4 Aufrüsten von Sentinel 7.0 auf 7.1.1

Wenn Sie Sentinel von 7.0 auf 7.1.1 aufrüsten und sich die Sentinel-Installation nicht am standardmäßigen Speicherort befindet, führen Sie folgende Befehle mit dem Benutzer „novell“ aus:

ln -s
"$RPM_INSTALLATION_PREFIX/opt/novell/sentinel/3rdparty/activemq/activemq-all-5.4.2.jar"
"$RPM_INSTALLATION_PREFIX/opt/novell/sentinel/lib/activemq-all-5.4.2.jar"

wobei $RPM_INSTALLATION_PREFIX den Standort der Sentinel-Installation bezeichnet.

4.0 Bekannte Probleme

NetIQ Corporation ist bestrebt, Produkte zu bieten, die hochwertige Lösungen für die Softwarebedürfnisse Ihres Unternehmens darstellen. Die nachfolgend genannten Probleme werden derzeit untersucht. Wenden Sie sich an den Technischen Support, wenn Sie weitere Hilfe zu einem Problem benötigen.

4.1 Sentinel-Services starten nach der Installation unter Umständen nicht automatisch

Problem: Auf Systemen mit mehr als 2 TB wird Sentinel nach der Installation unter Umständen nicht automatisch gestartet. (BUG 846296)

Behelfslösung: Starten Sie die Sentinel-Services einmalig manuell, indem Sie in /usr/sbin/rcsentinel den folgenden Befehl eingeben:

rcsentinel -start

4.2 Kerberos-Authentifizierung kann nicht aktiviert werden

Problem: Wenn Sie im Kerberos-Modul die Option Kerberos-Authentifizierung aktivieren auswählen, die Kerberos-Authentifizierung konfigurieren und auf Speichern klicken, wird in der Konsole eine Meldung angezeigt, die bestätigt, dass die Kerberos-Clientkonfiguration erfolgreich war. Die Kerberos-Authentifizierung wird jedoch nicht aktiviert und wenn Sie das Kerberos-Modul erneut anzeigen, ist die Auswahl der Option Kerberos-Authentifizierung aktivieren wieder aufgehoben. (BUG 843623)

Behelfslösung: Momentan lässt sich dieses Problem nicht umgehen.

4.3 Sentinel Control Center startet nicht, wenn auf dem Clientcomputer Java 7 Update 40 installiert ist

Problem: Wenn auf dem Clientcomputer Java 7 Update 40 installiert ist, startet Sentinel Control Center nicht. (BUG 841921)

Behelfslösung: Wählen Sie unter Systemsteuerung > Programme > Java > Erweitert die Option Protokollierung aktivieren aus oder rüsten Sie die Java-Version auf.

4.4 Sentinel-Server kann nicht gesichert werden, wenn Sentinel auf einem benutzerdefinierten Port installiert wurde

Problem: Wenn Sie in einer Sentinel-Installation mit benutzerdefiniertem Port eine vollständige Serversicherung ausführen, tritt beim Sicherungsvorgang ein Fehler auf. (BUG 844062)

Behelfslösung: Ändern Sie in der Datei /opt/novell/sentinel/bin/backup_util.sh den Parameterwert PORT_PARAM in die benutzerdefinierte Portnummer für den Webserver, speichern Sie die Datei und führen Sie das Skript backup_util.sh erneut aus.

5.0 Kontaktangaben

Wir möchten Ihnen stets eine nützliche, aussagekräftige Dokumentation an die Hand geben. Sie haben Verbesserungsvorschläge? Dann senden Sie sie uns per Email an Documentation-Feedback@netiq.com. Wir freuen uns auf Ihre Rückmeldung.

Ausführliche Kontaktinformationen finden Sie auf der Website mit den Support-Kontaktangaben.

Allgemeine Informationen zu unserem Unternehmen und unseren Produkten finden Sie auf der NetIQ-Firmenwebsite.

Wenn Sie an interaktiven Gesprächen mit Fachkollegen und NetIQ-Experten interessiert sind, werden Sie aktives Mitglied unserer Community-Website Qmunity, auf der Sie Produktforen, Produktbenachrichtigungen, Blogs und Produktbenutzergruppen finden.