In questa sezione vengono fornite informazioni sulla configurazione dei plug-in di Sentinel per l'esecuzione in modalità FIPS 140-2.
NOTA:queste istruzioni si basano sul presupposto che Sentinel sia stato installato nella directory /opt/novell/sentinel. Eseguire tutti i comandi come utente novell.
Eseguire la procedura seguente soltanto se durante la configurazione delle impostazioni di rete del server di origine eventi di Gestione agenti è stata selezionata l'opzione Cifrato (HTTPS).
Per configurare il connettore di Gestione agenti affinché venga eseguito in modalità FIPS 140-2:
Aggiungere o modificare il server di origine eventi di Gestione agenti. Eseguire le operazioni indicate nelle schermate di configurazione fino a quando non appare la finestra Sicurezza. Per ulteriori informazioni, vedere Agent Manager Connector Guide (Guida del connettore di Gestione agenti).
Selezionare una delle opzioni nel campo Tipo di autenticazione client. Il tipo di autenticazione del client determina il livello di rigorosità adottato dal server di origine eventi SSL di Gestione agenti per la verifica dell'identità delle origini eventi di Gestione agenti che tentano di inviare dati.
Aperta: consente le connessioni SSL provenienti da agenti di Gestione agenti. Non viene eseguita alcuna convalida o autenticazione del certificato del client.
Chiusa: esegue la convalida del certificato affinché sia un certificato X.509 valido e verifica inoltre che il certificato del client sia considerato attendibile dal server di origine eventi. Affinché origini illecite non possano inviare dati non autorizzati, sarà necessario aggiungere esplicitamente al server Sentinel nuove origini.
Per l'opzione Rigida è necessario importare nell'archivio chiavi FIPS di Sentinel il certificato di ciascun nuovo client di Gestione agenti. Quando Sentinel viene eseguito in modalità FIPS 140-2, non è possibile importare il certificato del client utilizzando l'interfaccia Gestione origini eventi (ESM).
Per ulteriori informazioni sull'importazione del certificato, vedere Importazione di certificati nel database di archivio chiavi FIPS.
NOTA:in modalità FIPS 140-2, il server di origine eventi di Gestione agenti utilizza la coppia di chiavi del server Sentinel e non è quindi necessario importare la coppia di chiavi del server.
Se l'autenticazione del server è abilitata negli agenti, è necessario configurarli affinché considerino attendibile il certificato del server Sentinel o dell'istanza remota di Collector Manager, a seconda dell'ubicazione di installazione del connettore.
Ubicazione del certificato del server Sentinel: /etc/opt/novell/sentinel/config/sentinel.cer
Ubicazione del certificato dell'istanza remota di Collector Manager: /etc/opt/novell/sentinel/config/rcm.cer
NOTA:quando si utilizzano certificati personalizzati con firma digitale apposta da un'autorità di certificazione (CA), è necessario che l'agente di Gestione agenti consideri attendibile il file del relativo certificato.
Eseguire la procedura seguente soltanto se durante la configurazione della connessione al database è stata selezionata l'opzione SSL.
Per configurare il connettore del database affinché venga eseguito in modalità FIPS 140-2:
Prima di configurare il connettore, effettuare il download del certificato dal server del database e salvarlo come file denominato database.cert nella directory /etc/opt/novell/sentinel/config del server Sentinel.
Per ulteriori informazioni, consultare la documentazione del rispettivo database.
Importare il certificato nell'archivio chiavi FIPS di Sentinel.
Per ulteriori informazioni sull'importazione del certificato, vedere Importazione di certificati nel database di archivio chiavi FIPS.
Continuare la configurazione del connettore.
Eseguire la procedura seguente soltanto se durante la configurazione delle impostazioni di rete del server di origine eventi di Collegamento Sentinel è stata selezionata l'opzione Cifrato (HTTPS).
Per configurare il connettore di Collegamento Sentinel affinché venga eseguito in modalità FIPS 140-2:
Aggiungere o modificare il server di origine eventi di Collegamento Sentinel. Eseguire le operazioni indicate nelle schermate di configurazione fino a quando non appare la finestra Sicurezza. Per ulteriori informazioni, vedere la Sentinel Link Connector Guide (Guida del connettore di Collegamento Sentinel).
Selezionare una delle opzioni nel campo Tipo di autenticazione client. Il tipo di autenticazione del client determina il livello di rigorosità adottato dal server di origine eventi SSL di Collegamento Sentinel per la verifica dell'identità delle origini eventi di Collegamento Sentinel (integratori di Collegamento Sentinel) che tentano di inviare dati.
Aperta: consente le connessioni SSL provenienti dai client (integratori di Collegamento Sentinel). Non viene eseguita alcuna convalida o autenticazione del certificato dell'integratore.
Chiusa: esegue la convalida del certificato dell'integratore affinché sia un certificato X.509 valido e verifica inoltre che il certificato dell'integratore sia considerato attendibile dal server di origine eventi. Per ulteriori informazioni, consultare la documentazione del rispettivo database.
Per l'opzione Rigida:
Se l'integratore di Collegamento Sentinel è in modalità FIPS 140-2, è necessario copiare il file /etc/opt/novell/sentinel/config/sentinel.cer dal computer Sentinel mittente al computer Sentinel destinatario. Importare il certificato nell'archivio chiavi FIPS del computer Sentinel destinatario.
NOTA:quando si utilizzano certificati personalizzati con firma digitale apposta da un'autorità di certificazione (CA), è necessario importare il file corretto del certificato personalizzato.
Se l'integratore di Collegamento Sentinel è in modalità non FIPS, è necessario importare il certificato personalizzato dell'integratore nell'archivio chiavi FIPS del computer Sentinel destinatario.
NOTA:se il mittente è Sentinel Log Manager (in modalità non FIPS) e il destinatario è Sentinel in modalità FIPS 140-2, il certificato del server da importare nel mittente dal computer Sentinel destinatario è il file /etc/opt/novell/sentinel/config/sentinel.cer.
Quando Sentinel viene eseguito in modalità FIPS 140-2, non è possibile importare il certificato del client utilizzando l'interfaccia Gestione origini eventi (ESM). Per ulteriori informazioni sull'importazione del certificato, vedere Importazione di certificati nel database di archivio chiavi FIPS.
NOTA:in modalità FIPS 140-2, il server di origine eventi di Collegamento Sentinel utilizza la coppia di chiavi del server Sentinel. Non è quindi necessario importare la coppia di chiavi del server.
Eseguire la procedura seguente soltanto se durante la configurazione delle impostazioni di rete del server di origine eventi Syslog è stato selezionato il protocollo SSL.
Per configurare il connettore Syslog affinché venga eseguito in modalità FIPS 140-2:
Aggiungere o modificare il server di origine eventi Syslog. Eseguire le operazioni indicate nelle schermate di configurazione fino a quando non appare la finestra Rete. Per ulteriori informazioni, vedere la Syslog Connector Guide (Guida del connettore Syslog).
Fare clic su Impostazioni.
Selezionare una delle opzioni nel campo Tipo di autenticazione client. Il tipo di autenticazione del client determina il livello di rigorosità adottato dal server SSL di origine eventi Syslog per la verifica dell'identità delle origini eventi di Syslog che tentano di inviare dati.
Aperta: consente le connessioni SSL provenienti dai client (origini eventi). Non viene eseguita alcuna convalida o autenticazione del certificato del client.
Chiusa: esegue la convalida del certificato affinché sia un certificato X.509 valido e verifica inoltre che il certificato del client sia considerato attendibile dal server di origine eventi. Affinché origini illecite non possano inviare dati a Sentinel, sarà necessario aggiungere esplicitamente a Sentinel le nuove origini.
Per l'opzione Rigida è necessario importare nell'archivio chiavi FIPS di Sentinel il certificato del client Syslog.
Quando Sentinel viene eseguito in modalità FIPS 140-2, non è possibile importare il certificato del client utilizzando l'interfaccia Gestione origini eventi (ESM).
Per ulteriori informazioni sull'importazione del certificato, vedere Importazione di certificati nel database di archivio chiavi FIPS.
NOTA:in modalità FIPS 140-2, il server di origine eventi Syslog utilizza la coppia di chiavi del server Sentinel. Non è quindi necessario importare la coppia di chiavi del server.
Se l'autenticazione del server è abilitata nel client Syslog, è necessario configurarlo affinché consideri attendibile il certificato del server Sentinel o dell'istanza remota di Collector Manager, a seconda dell'ubicazione di installazione del connettore.
Il file del certificato del server Sentinel si trova in /etc/opt/novell/sentinel/config/sentinel.cer.
Il file del certificato dell'istanza remota di Collector Manager si trova in /etc/opt/novell/sentinel/config/rcm.cer.
NOTA:quando si utilizzano certificati personalizzati con firma digitale apposta da un'autorità di certificazione (CA), è necessario che il client consideri attendibile il file del relativo certificato.
Per configurare il connettore degli eventi di Windows (WMI) affinché venga eseguito in modalità FIPS 140-2:
Aggiungere o modificare il connettore degli eventi di Windows. Eseguire le operazioni indicate nelle schermate di configurazione fino a quando non appare la finestra Sicurezza. Per ulteriori informazioni, vedere la Windows Event (WMI) Connector Guide (Guida del connettore degli eventi di Windows).
Fare clic su Impostazioni.
Selezionare una delle opzioni nel campo Tipo di autenticazione client. Il tipo di autenticazione del client determina il livello di rigorosità adottato dal connettore degli eventi di Windows per la verifica dell'identità dei servizi di raccolta eventi di Windows (WECS) del client che tentano di inviare dati.
Aperta: consente le connessioni SSL provenienti dai WECS del client. Non viene eseguita alcuna convalida o autenticazione del certificato del client.
Chiusa: esegue la convalida del certificato affinché sia un certificato X.509 valido e verifica inoltre che il certificato del WECS del client sia firmato da un'autorità di certificazione. Affinché origini illecite non possano inviare dati a Sentinel, sarà necessario aggiungere esplicitamente a Sentinel le nuove origini.
Per l'opzione Rigida è necessario importare nell'archivio chiavi FIPS di Sentinel il certificato del WECS del client. Quando Sentinel viene eseguito in modalità FIPS 140-2, non è possibile importare il certificato del client utilizzando l'interfaccia Gestione origini eventi (ESM).
Per ulteriori informazioni sull'importazione del certificato, vedere Importazione di certificati nel database di archivio chiavi FIPS.
NOTA:in modalità FIPS 140-2, il server di origine eventi di Windows utilizza la coppia di chiavi del server Sentinel. Non è quindi necessario importare la coppia di chiavi del server.
Se l'autenticazione del server è abilitata nel client Windows, è necessario configurarlo affinché consideri attendibile il certificato del server Sentinel o dell'istanza remota di Collector Manager, a seconda dell'ubicazione di installazione del connettore.
Il file del certificato del server Sentinel si trova in /etc/opt/novell/sentinel/config/sentinel.cer.
Il file del certificato dell'istanza remota di Collector Manager si trova in /etc/opt/novell/sentinel/config/rcm.cer.
NOTA:quando si utilizzano certificati personalizzati con firma digitale apposta da un'autorità di certificazione (CA), è necessario che il client consideri attendibile il file del relativo certificato.
Se si desidera sincronizzare automaticamente le origini eventi o popolare l'elenco delle origini eventi utilizzando una connessione ad Active Directory, è necessario importare il certificato del server di Active Directory nell'archivio chiavi FIPS di Sentinel.
Per ulteriori informazioni sull'importazione del certificato, vedere Importazione di certificati nel database di archivio chiavi FIPS.
Eseguire la procedura seguente soltanto se durante la configurazione delle impostazioni di rete dell'integratore di Collegamento Sentinel è stata selezionata l'opzione Cifrato (HTTPS).
Per configurare l'integratore di Collegamento Sentinel affinché venga eseguito in modalità FIPS 140-2:
Quando l'integratore di Collegamento Sentinel è in modalità FIPS 140-2, l'autenticazione del server è obbligatoria. Prima di configurare l'istanza dell'integratore, importare il certificato del server di Collegamento Sentinel nell'archivio chiavi FIPS di Sentinel:
Se il connettore di Collegamento Sentinel è in modalità FIPS 140-2:
Se il connettore di Collegamento Sentinel è installato nel server Sentinel, è necessario copiare il file /etc/opt/novell/sentinel/config/sentinel.cer dal computer Sentinel destinatario al computer Sentinel mittente.
Se il connettore è installato in un'istanza remota di Collector Manager, è necessario copiare il file /etc/opt/novell/sentinel/config/rcm.cer dal computer destinatario dell'istanza remota di Collector Manager al computer Sentinel destinatario.
Importare il certificato nell'archivio chiavi FIPS del computer Sentinel mittente.
NOTA:quando si utilizzano certificati personalizzati con firma digitale apposta da un'autorità di certificazione (CA), è necessario importare il file corretto del certificato personalizzato.
Se il connettore di Collegamento Sentinel non è in modalità FIPS:
Importare il certificato personalizzato del server di Collegamento Sentinel nell'archivio chiavi FIPS del computer Sentinel mittente.
NOTA:quando l'integratore di Collegamento Sentinel è in modalità FIPS 140-2 e il connettore di Collegamento Sentinel non è in modalità FIPS, utilizzare la coppia di chiavi personalizzata del server nel connettore. Non utilizzare la coppia di chiavi interna del server.
Per ulteriori informazioni sull'importazione del certificato, vedere Importazione di certificati nel database di archivio chiavi FIPS.
Continuare la configurazione dell'istanza dell'integratore.
NOTA:in modalità FIPS 140-2, l'integratore di Collegamento Sentinel utilizza la coppia di chiavi del server Sentinel. Non è necessario importare la coppia di chiavi dell'integratore.
Per configurare l'integratore LDAP affinché venga eseguito in modalità FIPS 140-2:
Prima di configurare l'istanza dell'integratore, effettuare il download del certificato dal server LDAP e salvarlo come file denominato ldap.cert nella directory /etc/opt/novell/sentinel/config del server Sentinel.
Utilizzare ad esempio
openssl s_client -connect <LDAP server IP>:636
e copiare il testo restituito in un file senza includere le righe BEGIN ed END.
Importare il certificato nell'archivio chiavi FIPS di Sentinel.
Per ulteriori informazioni sull'importazione del certificato, vedere Importazione di certificati nel database di archivio chiavi FIPS.
Continuare la configurazione dell'istanza dell'integratore.
L'integratore SMTP supporta la modalità FIPS 140-2 a partire dalla versione 2011.1r2. Non è necessario apportare alcuna modifica alla configurazione.
Eseguire la procedura seguente soltanto se durante la configurazione delle impostazioni di rete dell'integratore Syslog è stata selezionata l'opzione Cifrato (SSL).
Per configurare l'integratore Syslog affinché venga eseguito in modalità FIPS 140-2:
Quando l'integratore Syslog è in modalità FIPS 140-2, l'autenticazione del server è obbligatoria. Prima di configurare l'istanza dell'integratore, importare il certificato del server Syslog nell'archivio chiavi FIPS di Sentinel:
Quando il connettore Syslog è in modalità FIPS 140-2: se il connettore è installato nel server Sentinel, è necessario copiare il file /etc/opt/novell/sentinel/config/sentinel.cer dal server Sentinel destinatario al server Sentinel mittente.
Quando il connettore è installato in un'istanza remota di Collector Manager, è necessario copiare il file /etc/opt/novell/sentinel/config/rcm.cer dal computer destinatario dell'istanza remota di Collector Manager al computer Sentinel destinatario.
Importare il certificato nell'archivio chiavi FIPS del computer Sentinel mittente.
NOTA:quando si utilizzano certificati personalizzati con firma digitale apposta da un'autorità di certificazione (CA), è necessario importare il file corretto del certificato personalizzato.
Quando il connettore Syslog non è in modalità FIPS: importare il certificato personalizzato del server Syslog nell'archivio chiavi FIPS mittente di Sentinel.
NOTA:quando l'integratore Syslog è in modalità FIPS 140-2 e il connettore Syslog non è in modalità FIPS, utilizzare la coppia di chiavi personalizzata del server nel connettore. Non utilizzare la coppia di chiavi interna del server.
Per importare i certificati nel database dell'archivio chiavi FIPS:
Copiare il file del certificato in un'ubicazione temporanea a scelta nel server Sentinel o nell'istanza remota di Collector Manager.
Passare alla directory /opt/novell/sentinel/bin.
Per importare il certificato nel database dell'archivio chiavi FIPS, eseguire il comando seguente e seguire le istruzioni visualizzate.
./convert_to_fips.sh -i <certificate file path>
Quando viene richiesto di riavviare il server Sentinel o l'istanza remota di Collector Manager, immettere sì o s.
Continuare la configurazione dell'istanza dell'integratore.
NOTA:in modalità FIPS 140-2, l'integratore Syslog utilizza la coppia di chiavi del server Sentinel. Non è necessario importare la coppia di chiavi dell'integratore.
In questa sezione si descrive come utilizzare i connettori non abilitati per FIPS con un server Sentinel in modalità FIPS 140-2. Se si utilizzano origini che non supportano FIPS o se si desidera raccogliere gli eventi da connettori non FIPS presenti nell'ambiente, si consiglia di utilizzare questo approccio.
Per utilizzare connettori non FIPS con Sentinel in modalità FIPS 140-2:
Installare un'istanza remota di Collector Manager in modalità non FIPS per eseguire la connessione al server Sentinel in modalità FIPS 140-2.
Per ulteriori informazioni, vedere il Sezione III, Installazione di Sentinel.
Installare i connettori non FIPS nell'istanza remota di Collector Manager specifica.
NOTA:sono stati riscontrati alcuni problemi noti in caso di installazione di connettori non FIPS, come ad esempio il connettore di revisione e il connettore file, in un'istanza remota di Collector Manager connessa a un server Sentinel in modalità FIPS 140-2. Per ulteriori informazioni sui problemi noti, vedere le note di rilascio di Sentinel .