Sentinel 7.3 发行说明

问题： SpyEye Tracker 源的数据提供商已停止更新此源，说明 SpyEye 威胁似乎得到缓解。在 Sentinel 中仍捆绑此源插件。由于数据提供商不再提供有效的威胁源，该源插件使用意外数据填充动态列表，且相关的关联规则无法正常工作。源用户界面仅表示成功处理了数据，而不表示该数据无效。(BUG 916560)。

解决方法： SpyEye Tracker 插件并不会对您的服务器造成任何问题，但可以通过去除此源插件及其相关的 Sentinel 对象：动态列表和关联规则来节省系统资源。

问题： 在 Sentinel 7.3 的升级安装中，在 Web 控制台的提示表中搜索警报属性时，该搜索不返回完整的警报字段列表。但是，如果您清除该搜索，则会在提示表中正确显示警报字段。(BUG 914755)

解决方法： 目前没有任何解决方法。

问题： 当 Sentinel 服务器在 FIPS 140-2 模式下运行时，如果 Java 运行时环境 (JRE) 的版本是 8 或后续版本，则无法使用 Java Web Start 在客户端计算机中起动 Sentinel 控制中心和 Solution Designer。(BUG 910452)

解决方法： 请确保您在想要起动 Sentinel 控制中心或 Solution Designer 的客户端计算机中执行以下操作：

问题： 在尝试将人类可读格式的 IPv6 地址字段同步到外部数据库时，数据同步失败。有关配置 Sentinel 来填充人类可读点标记格式的 IP 地址字段的信息，请参见《NetIQ Sentinel 管理指南》中的创建数据同步策略。(BUG 913014)

解决方法： 若要修复此问题，请在目标数据库中手动将 IP 地址字段的最大大小更改为不少于 46 个字符，然后重新同步此数据库。

问题： 如果在您的角色的安全过滤器为空且您的角色没有事件查看许可权限的情况下运行事件搜索，则该搜索无法完成。该搜索不显示任何有关无效事件查看许可权限的错误讯息。(BUG 908666)

解决方法： 使用以下选项之一更新此角色：

问题： Sentinel 代理管理器忽略原始数据文件大小配置的 SMServiceHost.exe.config 文件中 RawDataTapFileSize 属性中所指定的值，并且当文件大小达到 10 MB 时停止写入原始数据文件。(BUG 867954)

解决方法： 在文件大小达到 10 MB 时，将原始数据文件的内容手动复制到其他文件，并清除原始数据文件的内容，以便 Sentinel 代理管理器能将新数据写入该文件。

问题： 在编辑从 Sentinel 7.2 升级到后续版本的已保存搜索时，在日程表页中缺少用于指定搜索报告 CSV 中的输出字段的事件字段面板。(BUG 900293)

解决方法： 在升级 Sentinel 后，重创建并重安排搜索来查看日程表页中的事件字段面板。

问题： 当您通过单击该规则的关联摘要页的活动统计面板的 Fire 计数旁边的图标，搜索部署或启用该规则后生成的所有关联事件时，Sentinel 不会返回任何关联事件。(BUG 912820)

解决方法： 将事件搜索页中 From 字段的值更改为一个早于此字段中填充时间的时间，并再次单击搜索。

问题： 尽管 Sentinel 被配置为接收 Change Guardian 事件，但在您搜索 Change Guardian 事件，并单击 Change Guardian 图标时，运行于 FIPS 模式下的 Sentinel 不会显示 Change Guardian 增量附加信息。Change Guardian 4.1.1.1 和较早版本不支持发送 FIPS 兼容模式的事件。(BUG 912230)

解决方法： 目前没有任何解决方法。

问题： 在警报视图中，在刷新警报视图时，出现次数计数下降。(BUG 913838)

解决方法： 通过单击出现次数计数下降的警报旁边的查看细节来导航到警报摘要页。警报摘要页显示正确的出现次数值。

问题： 升级到 Sentinel 7.3 导致与 DB2 数据库的数据收集和数据同步失败，因为此升级去除了 IBM DB2 JDBC 驱动程序。(BUG 909343)

解决方法： 升级到 Sentinel 7.3 后，通过执行以下步骤，添加正确的 JDBC 驱动程序并将其配置为数据收集和数据同步：

问题： 当您在警报视图中单击选择全部来选择警报、取消选择几个警报和修改警报时，在刷新的警报视图中还会选择新进来的警报。这会导致选择进行修改的警报计数错误，同时看上去您正在修改新进来的警报。但是，只有最初选择的警报得到修改。(BUG 904830)

解决方法： 如果您使用自定义时间范围创建警报视图，则警报视图中将不会显示新的警报。

问题： 历史安全智能 (SI) 数据需要很长时间才能装载到具有高每秒事件数 (EPS) 装载的 Sentinel 系统中。(BUG 908599)

解决方法： 如果您正在通过历史数据创建安全智能仪表板，如有可能，请计划在系统负载较低时再部署此仪表板。目前没有任何其他的解决方法。

问题： 在安全智能基线重新生成期间，基线的开始和结束日期不正确，并显示为 1/1/1970。(BUG 912009)

解决方法： 在完成基线的重新生成后，更新正确的日期。

问题： 如果在单个分区中有大量索引的事件，运行搜索时，Sentinel 服务器会关闭。(BUG 913599)

解决方法： 通过在一天中至少打开两个分区的方式，创建保留策略。打开多个分区有助于减少分区中索引的事件数量。

问题： 创建新警报，而不是将警报信息聚集到现有警报。这是个别问题。(BUG 914512)

解决方法： 目前没有任何解决方法。

问题： 当您使用 report_dev_setup.sh 脚本为防火墙异常配置 Sentinel 端口时，Sentinel 显示错误。(BUG 914874)

解决方法： 通过以下步骤，为防火墙异常配置 Sentinel 端口：

问题： 当在 Microsoft Active Directory 和 Windows Collector 上启用通用主机名解析服务收集器时，Sentinel 通用收集器的性能会下降。当远程收集器管理器发送事件时，EPS 下降 50%。(BUG 906715)

解决方法： 目前没有任何解决方法。

问题： 当您在 FIPS 模式下安装 Sentinel 时，连接到安全智能数据库的连接器无法启动，并且 Sentinel 无法访问安全智能、Netflow 和警报数据。(BUG 915241)

解决方法： 在 FIPS 模式中进行安装和配置后，重启动 Sentinel。

问题： 当您从由非根用户安装并在 FIPS 模式下进行配置的 Sentinel 自定义安装升级到 Sentinel 7.3 时，安全智能数据库和警报仪表板偶尔无法启动。(BUG 916285)

解决方法： 请执行下列步骤：

问题： 在警报视图中，在单击任何远程警报旁边的查看细节并转到警报细节页时，关联数据面板中不显示该警报的触发事件。(BUG 916116)

解决方法： 登录到数据源服务器并在本地查看警报细节。

问题： 在警报视图中，如果自定义状态和优先级字段中的值，则这些字段的远程警报不显示任何数据。在警报细节页中，这些字段也不显示这些警报的任何数据。(BUG 915762)

解决方法： 登录到数据源服务器并在本地查看警报。

问题： 有时，如果您重启动 Sentinel 并登录，Sentinel 不显示任何警报视图中的警报。(BUG 916133)

解决方法： 通过执行以下步骤，重启动安全智能数据库：

问题： 在升级的 Sentinel 设备联机安装中，appuser 和 dbauser 用户帐户不可用。(BUG 915197)

解决方法： 请执行下列步骤：

问题： SSL 3.0 中存在的漏洞可能允许计算安全连接的纯文本。有关详细信息，请参见 CVE-2014-3566。由于 Syslog 连接器 2011.1r4 使用了 SSL 协议，所以其捆绑版本中存在这一漏洞。

解决方法： Syslog 连接器版本 2011.1r5 及更高版本可以解决此问题。此版本在 Sentinel 插件网站上正式发布后，您可以从预览部分下载此连接器。

问题： 如果收集器分析事件支持多个连接模式，则代理管理器连接器版本 2011.1r3 不会设置事件中的 CONNECTION_MODE 属性。(BUG 880564)

解决方法： 代理管理器连接器版本 2011.1r5 及更高版本可以解决此问题。此版本在 Sentinel 插件网站上正式发布后，您可以从预览部分下载此连接器。

问题： 默认情况下，当安装 Sentinel 设备时，网络接口为未配置。(BUG 867013)

解决方法： 配置网络接口步骤：

问题： 当在 Sentinel 中导出搜索结果时，如果您修改操作系统语言设置，Web 浏览器可能显示一则错误信息。(BUG 834874)

解决方法： 若要正确导出搜索结果，请执行任一下列操作：

问题： 当您使用端口转发或者目标网络地址转换 (DNAT) 起动 Sentinel Web 控制台时，Sentinel Web 控制台会显示一个空网页。(BUG 694732)

解决方法： 不使用端口转发或者目标网络地址转换 (DNAT) 的方式起动 Sentinel Web 控制台。

问题： 当您创建或重新生成一条安全智能基线时，Sentinel 将成功创建基线，但显示一则错误讯息。(BUG 848067)

解决方法： 请忽略该错误讯息。创建基线可能需要几分钟时间。

问题： 如果辅助存储器能够存储数据的天数小于主存储器能够存储数据的天数，Sentinel 不会有效利用主存储器磁盘空间。为释放空间而从辅助存储器中删除的分区也会从主存储器器中移除。(BUG 860888)

解决方法： 为辅助存储器分配足够多的空间来存放您想联机保留的数据的总天数（可被搜索的）。

问题： 在大于 2 TB 磁盘空间的系统上，Sentinel 在安装后可能无法自动启动。(BUG 846296)

解决方法： 作为一种一次性的活动，通过指定以下命令来手动启动 Sentinel 服务：

问题： 在 Sentinel 设备安装中，如果您在 Kerberos 模块中配置 Kerberos 鉴定，控制台会显示一条成功配置 Kerberos 客户端的配置讯息。但是，在您重新查看 Kerberos 模块时，取消选择“启用 Kerberos 鉴定”选项。(BUG 843623)

解决方法： 目前没有任何解决方法。

问题： 在安装远程收集器管理器时，如果您指定的口令包含特殊字符（如“$”、“"”、“\”或“/”），则安装将出现错误。(BUG 812111)

解决方法： 不要在远程收集器管理器口令中使用特殊字符。

问题： 当您重启动远程收集器管理器设备时，UDP 端口上连接的 Syslog 事件源将丢失连接。(BUG 795057)

解决方法： 目前没有任何可用的解决方法。

问题： 当您等待一个报告结果 PDF（具体而言，100 万个事件的报告结果）打开时，如果单击另一个报告结果 PDF 进行查看，则不会显示报告结果。(BUG 804683)

解决方法： 再次单击第二个报告结果 PDF 即可查看报告结果。

问题： 在 Sentinel 环境中启用了 FIPS 模式时，如果对 Agent Manager 使用 Windows 鉴定，将导致与 Agent Manager 数据库进行的同步失败。(BUG 814452)

解决方法： 在 Sentinel 环境中启用了 FIPS 模式时，对 Agent Manager 使用 SQL 鉴定。

问题： 如果启用 FIPS 模式，Sentinel 高可用性安装显示以下错误：

解决方法： 目前没有任何可用的修复或解决方法。虽然安装程序会显示错误，但 Sentinel 高可用性配置将在 FIPS 模式下成功地正常工作。

问题： 在非 FIPS 模式下成功完成了 Sentinel 高可用性安装，但会显示两次以下错误：

解决方法： 目前没有任何可用的修复或解决方法。虽然安装程序会显示错误，但 Sentinel 高可用性配置将在非 FIPS 模式下成功地正常工作。

问题： 从 Sentinel 7.2 以前的版本进行设备更新失败，因为更新程序包的供应商已从 Novell 更改为 NetIQ。(BUG 780969)

解决方法： 使用 zypper 命令更新设备。有关详细信息，请参见《NetIQ Sentinel 安装和配置指南》中的使用 zypper 升级设备。

问题： 如果在口令中指定了 $ 字符，则 Sentinel 会以不同的方式将口令储存在数据库中，具体视 $ 在口令中的位置而定。如果口令以特殊字符 $ 开头，则 Sentinel 会使用文件名储存口令。如果字符 $ 位于该口令中间的某个位置，则 Sentinel 会在字符 $ 所在的位置将口令截断。(BUG 734500)

解决方法： 实际口令储存在 home/novell/.pgpass 文件中。从此文件中获取口令，然后登录到 Sentinel。例如，如果已将口令指定为 abc$123，则 Sentinel 会以 abc 的形式将口令储存在 .pgpass 文件中。您可以通过将 abc 指定为口令登录到 Sentinel。

问题： 当系统上已存在同名的关联规则时，解决方案管理器不会安装关联规则。控制台中会记录 NullPointerException 错误。(BUG 713962)

解决方法： 确保所有关联规则具有唯一名称。

问题： 当您从 Web 控制台中执行 Sentinel Link 操作时，即使从 Sentinel 控制中心进行的 Sentinel Link 连接器集成器测试失败，Sentinel 也会显示一条成功讯息。(BUG 710305)

解决方法： 目前没有任何解决方法。

问题： 当安全智能仪表板和异常定义具有相同的名称时，“异常细节”页面上将会禁用仪表板链接。(BUG 715986)

解决方法： 在创建仪表板和异常定义时，确保使用唯一的名称。

问题： 当 Sentinel Web 控制台的计算机时钟比 Sentinel 服务器时钟慢时，Sentinel Web 控制台会在活动搜索作业的“持续时间”和“已访问”列中显示负数。例如，当 Sentinel Web 控制台时钟设置为 1:30 PM，而 Sentinel 服务器时钟设置为 2:30 PM 时，“持续时间”和“已访问”列便会显示负数。(BUG 719875)

解决方法： 确保您用于访问 Sentinel Web 控制台的计算机上的时间与 Sentinel 服务器计算机上的时间相同或快于该时间。

问题： 当您登录到安全性仪表板并进行 IssueSAMLToken 审计事件的搜索操作时，IssueSAMLToken 审计事件将显示错误的主机名 (InitiatorUserName) 或（IP 地址）SourceIP。(BUG 870609)

解决方法： 目前没有任何解决方法。

问题： 当 NetIQ Identity Manager Designer 安装在客户端计算机上并且 Designer 使用系统 JRE 时，Sentinel 控制中心不起动。Designer 需要将一些支持的 jar 文件（如 xml-apis.jar）添加到 lib/endorsed 目录。xml-apis.jar 文件中的一些类将覆盖 Sentinel 控制中心所使用的系统 JRE 中的相应类。(BUG 888085)

解决方法： 将 Designer 配置为使用它自己的 JRE。

问题： 在收集事件数据时，Sentinel 代理管理器不会截获带有 Null 值的 Windows 插入字符串字段。(BUG 838825)

解决方法： 目前没有任何解决方法。