File Readme di Novell Sentinel 7.0

31 ottobre 2011

Sentinel 7.0 è una soluzione SIEM (Security, Information and Event Management) e di monitoraggio della conformità, che controlla automaticamente gli ambienti IT più complessi fornendo le informazioni necessarie relative alla sicurezza per garantire il livello di protezione più elevato.

1.0 Novità

Nelle sezioni seguenti vengono descritte le funzioni fondamentali fornite in questa versione di Sentinel.

1.1 Installazione semplificata

I miglioramenti apportati al programma di installazione consentono di installare Sentinel in modo più semplice. Per ulteriori informazioni, consultare la Sentinel 7.0 Installation Guide (Guida all'installazione di Novell Sentinel 7.0).

1.2 Applicazione software pronta per l'esecuzione

Questa versione offre un'applicazione software pronta per l'esecuzione creata su SUSE Studio. Distribuita come immagine VMWare, Xen, o ISO e certificata per essere eseguita su tutti gli hypervisor, l'applicazione software consente di implementare senza alcuna difficoltà e a costi ridotti una soluzione SIEM efficace e di facile utilizzo. L'applicazione software può essere installata sull'hardware oppure in un ambiente virtuale.

1.3 Rilevamento anomalie

Questa versione consente di individuare facilmente le anomalie presenti nell'ambiente. Mediante la generazione di linee di base specifiche e il confronto dei dati in entrata con l'andamento consueto dell'ambiente unico dell'utente, Sentinel è in grado di offrire un rilevamento più intelligente e veloce delle attività anomale. Tali linee di base possono essere configurate tenendo conto delle specifiche dell'ambiente, in modo da individuare gli eventi anomali e visualizzare il modo in cui l'attitudine relativa a sicurezza e conformità si modifica in un determinato periodo di tempo.

1.4 Unica Soluzione unificata

Sentinel unisce la gestione dei log con le informazioni di sicurezza e la gestione eventi in un'unica soluzione unificata.

1.5 Memorizzazione dei dati più efficace

Questa versione offre un livello di memorizzazione eventi basato su file efficiente, ottimizzato per l'archiviazione di eventi a lungo termine. La nuova memorizzazione eventi fornisce la compressione 10:1, supporta totalmente le ricerche indicizzate e velocizza le attività di generazione dei rapporti, consentendo allo stesso tempo la flessibilità necessaria per memorizzare alcuni o tutti gli eventi in una memorizzazione del database relazionale di back end tradizionale.

1.6 Migliore correlazione

Grazie a un generatore di regole grafico è possibile creare rapidamente le regole di correlazione eventi direttamente dagli eventi raccolti nell'ambiente. Inoltre, prima di implementarle è possibile provare le regole, in modo da ridurre la generazione di avvisi falso-positivo, migliorare le funzioni di correlazione eventi e, infine, distribuire funzioni di rilevamento exploit più efficaci.

1.7 Ricerca distribuita

Alle aziende che hanno implementato varie istanze di Sentinel o Sentinel Log Manager in aree geografiche diverse, mediante un'unica console centralizzata questa versione offre la possibilità di ricercare gli eventi non solo nei server Sentinel locali ma anche in quelli Sentinel e Sentinel Log Manager esistenti.

1.8 Limiti al supporto del servizio di raccolta esistente

Novell sta procedendo gradualmente all'eliminazione del supporto dei servizi di raccolta esistenti nella linea di prodotti Sentinel. Nelle versioni precedenti di Sentinel, se viene importato un servizio di raccolta esistente, il sistema visualizza un avviso. A partire dalla versione 7.0, nelle installazioni pulite di Sentinel e di Gestione servizi di raccolta, i Servizi di raccolta esistenti non vengono eseguiti.

NOTA:i servizi di raccolta esistenti sono stati scritti mediante l'applicazione Generatore servizi di raccolta esistenti, la quale non è più distribuita insieme ai prodotti Sentinel. Dal 2007, i servizi di raccolta esistenti sono stati sostituiti da servizi di raccolta JavaScript, che sono scritti mediante Sentinel Plug-In SDK. I servizi di raccolta JavaScript sono disponibili nel sito Web dei plug-in di Sentinel (http://support.novell.com/products/sentinel/secure/sentinel61.html).

2.0 Problemi noti

Nella tabella seguente vengono elencati i problemi noti associati ai bug di Sentinel 7.0:

Numero bug

Descrizione

712723

Problema: quando viene ridenominato un ruolo nell'interfaccia Web di Sentinel, Sentinel non aggiorna il nome nell'elenco di tutti i ruoli presente nel riquadro a sinistra.

Soluzione: eseguire il logout dall'interfaccia Web di Sentinel. Quando viene eseguito nuovamente il login all'interfaccia Web di Sentinel, il nome del ruolo viene aggiornato.

710747

Problema: il dashboard di Security Intelligence non visualizza adeguatamente il numero di eventi per totali che vanno da 1.000.000 a 1.100.000.

Soluzione: Non è ancora disponibile una soluzione.

698767

Problema: se nell'interfaccia Web di Sentinel vengono selezionati più eventi e si seleziona l'azione Destinazione/ping o Iniziatore/ping, Sentinel visualizza l'output dell'azione solo per il primo evento.

Soluzione: non è ancora disponibile una soluzione.

696398

Problema: se in Sentinel Control Center si modifica un nome del campo evento, la modifica non viene applicata immediatamente nel generatore filtro dell'interfaccia Web di Sentinel.

Soluzione: aggiornare il browser Web per visualizzare la modifica apportata al campo evento nell'interfaccia Web di Sentinel.

710004

Problema: quando è presente almeno un ruolo nel cui nome è contenuto un asterisco (*), non è possibile utilizzare "*" come carattere jolly durante la ricerca dei filtri se nell'interfaccia Web di Sentinel è stata selezionata l'opzione Condividi con i ruoli.

Soluzione: per utilizzare "*" come carattere jolly durante la ricerca dei filtri, ridenominare i ruoli che contengono un asterisco.

719708

Problema: l'accesso alla documentazione API REST di Sentinel mediante il segnalibro di un browser restituisce un errore.

Soluzione: accedere alla documentazione API REST di Sentinel direttamente dal menu Guida dell'interfaccia Web di Sentinel.

713962

Problema: Solution Manager non esegue l'installazione delle regole di correlazione quando nel sistema esiste già una regola di correlazione con lo stesso nome. Nella console viene registrato un errore NullPointerException.

Soluzione: assicurarsi che tutte le regole di correlazione dispongano di un nome univoco.

710305

Problema: quando viene eseguita un'azione di Collegamento Sentinel dall'interfaccia Web di Sentinel, Sentinel visualizza un messaggio di completamento anche se la prova di integrazione del connettore di Collegamento Sentinel non è riuscita da Sentinel Control Center.

Soluzione: non è ancora disponibile una soluzione.

717679

Problema: quando la password appuser contiene uno qualsiasi dei caratteri speciali seguenti, la funzione iTrac non funziona nel modo appropriato: "+", "\", "#", o ",". La password dell'utente amministratore fornita durante l'installazione di una configurazione standard viene utilizzata dagli utenti admin, dbuser e appuser.

Soluzione: assicurarsi che la password appuser non contenga i caratteri speciali "+", "\", "#" o ",".

719301

Problema: quando un server Sentinel inoltra un evento di correlazione a un altro server Sentinel, nella scheda Eventi di correlazione viene abilitato il collegamento Visualizza attivazioni associato, anche se non vi sono attivazione da visualizzare.

Soluzione: non è ancora disponibile una soluzione.

715986

Problema: quando un dashboard di Security Intelligence e una definizione dell'anomalia hanno nomi identici, il collegamento del dashboard viene disattivato nella pagina Dettagli anomalie.

Soluzione: al momento di creare dashboard e definizioni di anomalie, assicurarsi di utilizzare nomi univoci.

719875

Problema: quando l'orologio del computer dell'interfaccia Web di Sentinel è indietro rispetto a quello del server Sentinel, l'interfaccia Web di Sentinel visualizza numeri negativi nelle colonne Durata e Accesso eseguito del lavoro di ricerca attivo. Vale a dire che se l'orologio dell'interfaccia Web di Sentinel è impostato alle 1:30 PM e il server Sentinel è impostato alle 1:33 PM, queste colonne visualizzano numeri negativi.

Soluzione: assicurarsi che l'ora del computer utilizzato per accedere all'interfaccia Web di Sentinel sia lo stesso o sia successivo a quello del computer del server Sentinel.

719244

Problema: quando il sistema è sottoposto a carichi significativi, le connessioni alle Gestioni servizi di raccolta remote si interrompono e vengono nuovamente stabilite qualche minuto più tardi.

Soluzione: per una valutazione dell'ambiente che consenta di determinare la modalità migliore per gestire il numero di eventi generati, consultare la TID (Technical Information Document, documentazione tecnica) di Novell nº 7009554, "Sentinel 7.0 Performance Monitoring (Controllo delle prestazioni di Sentinel 7.0, in lingua inglese)."

713147

Problema: una volta effettuato l'upgrade di un connettore, Sentinel potrebbe non visualizzare i dettagli relativi al connettore più recente nella finestra Dettagli plug-in.

Soluzione: per aggiornare i dettagli relativi al connettore, aggiornare l'interfaccia utente ESM selezionando Ricarica dati di Gestione origini eventi nella barra degli strumenti di ESM.

694732

Problema: quando vengono utilizzate le porte di inoltro o la conversione dell'indirizzo di rete di destinazione, la linea di base e l'analisi delle tendenze non funzionano come previsto nel dashboard di Security Intelligence.

Soluzione: quando si esegue l'accesso all'associazione alla linea di base di Sentinel nelle istanze seguenti, aggiungere il numero della porta di default all'URL:

  • Sentinel è stato configurato per rimanere in ascolto della porta di default, 443.

  • Sentinel è in ascolto su una porta non di default ma essendo abilitato l'inoltro della porta, il traffico viene instradato dalla porta di default a quella sulla quale Sentinel è in ascolto.

709072

Problema: quando una Gestione servizi di raccolta remota è in esecuzione su un sistema Xen, la JVM di Sentinel potrebbe restituire un errore in quanto non dispone di memoria allocata sufficiente e scrivere i tipi di messaggio seguenti sul file di log del wrapper:

  • Memoria insufficiente per continuare l'esecuzione di Java Runtime Environment.

  • L'allocazione di memoria nativa (malloc) non può allocare NNNNN byte per ChunkPool::allocate.

  • Un file rapporto contenente ulteriori informazioni è stato salvato come: /var/opt/novell/sentinel/data/hs_err_pidNNNN.log

  • JVM è stata terminata in modo inatteso.

  • JVM è stata terminata in risposta al segnale SCONOSCIUTO(N).

  • Avvio di una JVM in corso...

Soluzione: per assicurarsi che il sistema disponga di spazio di scambio sufficiente per eseguire la JVM di Sentinel, aumentare tale spazio a 2 GB o più.

695468

Problema: l'ordinamento delle stringhe localizzate non funziona correttamente in alcune lingue. Se una lingua localizzata utilizza caratteri non ascii o con segni diacritici, l'ordinamento in tale lingua non funziona.

Soluzione: non è ancora disponibile una soluzione.

723189

Problema: nell'elenco a discesa Responsabile configurazione azioni di Sentinel Control Center sono inclusi utenti temporanei creati dal sistema per i processi di lavoro, come una ricerca distribuita.

Soluzione: assicurarsi di specificare un utente Sentinel valido. Una volta completato il lavoro, Sentinel elimina ogni utente temporaneo cui tale lavoro è associato.

723588

Problema: durante l'installazione di Sentinel 7.0 in un'ubicazione non di default, dopo aver accettato il contratto di licenza il programma di installazione di Sentinel si interrompe.

Soluzione: se si sta installando Sentinel 7.0 come utente root, non installare il prodotto in un'ubicazione non di default. Se invece si sta installando Sentinel 7.0 come utente non root, prima di procedere all'installazione in un'ubicazione non di default assicurarsi di disporre del file appropriato per il sistema operativo installato.

  • squashfs-4.0-1.2.10 per SLES

  • squashfs-tools-4.0-3.el6.x86_64 per RHEL

721784

Problema: quando l'interfaccia Web di Sentinel viene visualizzata mediante un browser la cui lingua preferita impostata è quella ceca, l'elenco a discesa Classificatore risulta vuoto quando si crea un dashboard di Security Intelligence.

Soluzione: per abilitare l'elenco a discesa Classificatore, impostare la lingua preferita del browser sulla lingua inglese oppure eseguire la procedura seguente:

  1. Sul server Sentinel, andare a \var\opt\novell\sentinel\3rdparty\jetty\webapp.

  2. Decomprimere i file novellsentinel.war e siem_baselining.war.

  3. Eliminare il file date-cs-CZ.js.gz dalle cartelle seguenti:

    • novellsentinel.war\js\lib\i18n\

    • siem_baselining.war\js\lib\i18n\

  4. Comprimere i file novellsentinel.war e siem_baselining.war.

  5. Riavviare il server Sentinel.

723905

Problema: lo script clean_db.sh non accetta valori localizzati quando viene eseguito nelle lingue seguenti:

  • Cinese tradizionale

  • Brasiliano portoghese

  • Francese

Soluzione: Per consentire l'esecuzione dello script, specificare i valori in lingua inglese.

722118

Problema: quando viene creata una linea di base da una vista a categorie, Sentinel genera un messaggio di errore e non ritorna alla pagina principale del dashboard quando si seleziona il collegamento associato.

Soluzione: per tornare alla pagina principale del dashboard è necessario eseguire il logout dall'interfaccia Web di Sentinel e, successivamente, eseguire nuovamente il login.

724574

Problema: quando si filtrano i nomi nuovi o precedenti di un'anomalia che è stata ridenominata, il messaggio Visualizzazione di X di Y anomalie totali utilizza il numero totale delle anomalie dei nomi sia nuovi che precedenti di X. Il messaggio dovrebbe invece utilizzare il numero di anomalie corrispondenti al nome per il quale è stato realizzato il filtraggio.

Soluzione: non è ancora disponibile una soluzione.

703963

Problema: il servizio di raccolta Identity Vault Collector 6.1r2 non supporta Sentinel 7.0.

Soluzione: per una soluzione non supportata, visitare la pagina Sentinel Cool Solutions. Per visualizzare ed effettuare il download dei plug-in di Sentinel più recenti, visitare la pagina dei plug-in di Sentinel http://support.novell.com/products/sentinel/secure/sentinelplugins.html sul sito Web di Novell.

3.0 Miglioramenti e difetti corretti in Sentinel 7.0

Nella tabella seguente sono elencati i miglioramenti e i difetti che sono stati corretti in Sentinel 7.0.

Numero bug

Descrizione

627505

Miglioramenti: Sentinel 7.0 fornisce la possibilità di tracciare e registrare tutte le attività elaborate dagli utenti.

451587

Miglioramento: Sentinel 7.0 individua i motori di correlazione inattivi e offre un'opzione per eliminarli dall'architettura Sentinel.

451827

Miglioramento: quando il programma di installazione di Sentinel incontra una risposta inattesa diviene instabile e non fornisce alcun messaggio di errore.

451858

Miglioramento: Sentinel 7.0 consente di selezionare inlist quando si crea una regola semplice dal Generatore di regole di correlazione.

452436

Miglioramento: l'interfaccia Web di Sentinel consente agli amministratori di specificare le funzioni alle quali gli utenti sono autorizzati ad accedere.

456058

Miglioramento: Sentinel 7.0 fornisce una prestazione di ricerca più potente durante la ricerca effettuata su periodi di tempo molto estesi quando non è presente alcuna partizione.

464708

Miglioramento: Sentinel 7.0 consente di rimuovere i dati memorizzati in base all'origine evento.

464710

Miglioramento: Sentinel 7.0 consente di includere le ricerche con caratteri jolly che supportano anche l'operatore NOT.

468717

Miglioramento: Sentinel 7.0 consente di importare ed eseguire la ricerca di dati evento archiviati.

476028

Miglioramento: Sentinel 7.0 consente di creare diversi ruoli utente, mediante i quali è possibile assegnare in modo rapido e semplice le autorizzazioni relative a una funzione specifica del lavoro o del workflow.

688957

Miglioramento: adesso Active Views mantiene l'ordine e le dimensioni personalizzati delle colonne.

688958

Miglioramento: adesso Active Views consente di spostare facilmente le colonne vuote della tabella eventi a destra.

665279

Problema risolto: in questa versione viene risolto un problema in base al quale Sentinel visualizza il messaggio "Active Views disconnesso dal server" quando si effettua l'accesso ad Active Views su un computer in cui è in esecuzione RHEL.

704017

Problema risolto: in questa versione viene risolto un problema in base al quale una convalida e un processo di download non possono essere elaborati quando Gestione download viene configurata per l'utilizzo di un server proxy.

451583

Problema risolto: in questa versione viene risolto un problema in base al quale l'accesso ai dettagli di un evento mediante Active Views potrebbe provocare l'instabilità dello schermo.

472026

Problema risolto: in questa versione viene risolto un problema in base al quale quando viene tentata l'importazione di un pacchetto soluzione qualsiasi dal sito Web di Novell, non è possibile completarne l'installazione.

497683

Problema risolto: in questa versione viene risolto un problema in base al quale quando viene eliminato il plug-in Invia posta o Azione di default gli utenti non possono inviare e-mail.

717984

Problema risolto: in questa versione viene risolto un problema in base al quale quando viene riavviata una Gestione servizi di raccolta da ESM (Gestione origini evento) alcuni plug-in dei servizi di raccolta non ritornano allo stato originario.

452221

Problema risolto: in questa versione viene risolto un problema in base al quale Sentinel consentiva l'inserimento di caratteri speciali nelle password create durante l'installazione. Tuttavia, non consentiva che le password create mediante Sentinel Control Center contenessero caratteri speciali diversi da "#", "_", "$".

4.0 Documentazione

Per ulteriori informazioni su Sentinel 7.0, consultare: