Sentinel 8.0 发行说明

问题： 高可用性模式的 SSDM 没有将相应的 HA 群集节点 IP 地址填充到 Elasticsearch 安全插件配置文件中。因此，搜索和事件可视化仪表板显示错误。

解决方法： 安装 Elasticsearch 安全插件以后，在 Elasticsearch 群集的每个节点上执行以下步骤：

问题： 在 SSDM 环境中，如果您使用默认选项创建了图块地图可视化项，则 Kibana 问题会使新建的图块地图可视化项在事件可视化仪表板中不起作用。有关 Kibana 问题的详细信息，请参见 https://github.com/elastic/kibana/issues/7717。(Bug 1001909)

解决方法： 创建新的图块地图可视化项后，请在选项下方选择兼容 WMS 的地图服务器。

问题： Kibana 问题使 Internet Explorer 11 无法打开事件可视化仪表板。(Bug 981308)

解决方法： 使用其他浏览器来查看或修改可视化仪表板。

问题： 如果您尝试在运行的是 SLES 11 SP4 操作系统的计算机上以 FIPS 模式安装 Sentinel，则安装过程将失败。(Bug 990201)

解决方法： 确保操作系统不处于 FIPS 模式，然后完成以下步骤：

问题： Sentinel 无法通过 Sentinel Link Connector 接收事件。(Bug 989784)

解决方法： Sentinel Link 连接器版本 2011.1r4 解决了此问题。此版本在 Sentinel 插件网站上正式发布后，您可以从预览部分下载此连接器的预览版本。

问题： NetIQ eDirectory 工具无法通过平台代理连接到审计连接器。因此，Sentinel 无法收到来自 eDirectory 的事件。出现此问题的原因是，eDirectory 工具使用 MD5 RSA 证书算法，该算法已在 Sentinel 8.0 (Bug 985312) 使用的 Java 8 更新 77 中弃用。

解决方法： 要允许 eDirectory 工具使用自定义证书，请执行 NetIQ 知识库文章 7017764 中所述的步骤。

问题： 如果在 Sentinel 7.4 SP1 中对口令储存进行更改，则将该设备从早期版本升级到 7.4 SP1 时会显示以下错误：

解决方法： 应该显示该警告，您可以安全地将其忽略。这对升级没有影响。

问题： 启用 SSDM 后，如果您登录到 Sentinel 主界面，则浏览器将显示空白页。(Bug 1006677)

解决方法： 关闭您的浏览器，然后重新登录到 Sentinel 主界面。在您启用 SSDM 后首次登录到 Sentinel 主界面时，该问题只出现一次。

问题： com.novell.sentinel.spark.StreamingEventIndexer 作业不支持 IPv6。如果事件中包含 IPv6 地址，则该作业将失败。(Bug 1006975)

解决方法： 解决方法是将 IP 类型更改为字符串。要进行此项更改，请与技术支持联系。

问题： 启用可缩放储存后，SSDM 服务器日志会显示以下讯息的多个实例：

解决方法： 您可以安全地忽略这些讯息。对功能没有任何影响。

问题： 将 Sentinel 从 7.3 版本升级到 7.3 SP1 版本并启动 Sentinel 服务器时，您可能会在服务器日志中看到以下异常：

解决方法： 不必在意该异常。没有因为该异常对 Sentinel 的性能产生影响。

问题： Sentinel 警报视图和警报仪表板不会在 IP 地址字段中显示含有 IPv6 地址的警报。(Bug 924874)

解决方法： 要在 Sentinel 中查看含有 IPv6 地址的警报，请执行在 NetIQ 知识库文章 7016555 中提到的步骤。

问题： Sentinel Link 连接器中存在着 Bar Mitzvah 安全漏洞。Sentinel Link 连接器在 SSL 和 TSL 协议中使用 RC4 算法，这可能会允许针对某个流中的初始字节进行明文恢复攻击。有关详细信息，请参见 CVE-2015-2808。(Bug 933741)

解决方法： Sentinel Link 连接器版本 2011.1r4 解决了此问题。此版本在 Sentinel 插件网站上正式发布后，您可以从预览部分下载此连接器。

问题： 如果收集器分析事件支持多个连接模式，则代理管理器连接器版本 2011.1r3 不会设置事件中的 CONNECTION_MODE 属性。(Bug 880564)

解决方法： 代理管理器连接器版本 2011.1r5 及更高版本可以解决此问题。此版本在 Sentinel 插件网站上正式发布后，您可以从预览部分下载此连接器。

问题： Sentinel 代理管理器 7.3 忽略原始数据文件大小配置的 SMServiceHost.exe.config 文件中 RawDataTapFileSize 属性中所指定的值，并且当文件大小达到 10 MB 时停止写入原始数据文件。(Bug 867954)

解决方法： 在文件大小达到 10 MB 时，将原始数据文件的内容手动复制到其他文件，并清除原始数据文件的内容，以便 Sentinel 代理管理器能将新数据写入该文件。

问题： 在 Sentinel 的升级安装中，在 Sentinel 主界面的提示表中搜索警报属性时，该搜索不会返回警报字段的完整列表。但是，如果您清除该搜索，则会在提示表中正确显示警报字段。(Bug 914755)

解决方法： 目前没有任何解决方法。

问题： 在尝试将人类可读格式的 IPv6 地址字段同步到外部数据库时，数据同步失败。有关配置 Sentinel 来填充人类可读点标记格式的 IP 地址字段的信息，请参见《NetIQ Sentinel 管理指南》中的创建数据同步策略。(Bug 913014)

解决方法： 若要修复此问题，请在目标数据库中手动将 IP 地址字段的最大大小更改为不少于 46 个字符，然后重新同步此数据库。

问题： 如果在您的角色的安全过滤器为空且您的角色没有事件查看许可权限的情况下运行事件搜索，则该搜索无法完成。该搜索不显示任何有关无效事件查看许可权限的错误讯息。(Bug 908666)

解决方法： 使用以下选项之一更新此角色：

问题： 在编辑从 Sentinel 7.2 升级到后续版本的已保存搜索时，在日程表页中缺少用于指定搜索报告 CSV 中的输出字段的事件字段面板。(Bug 900293)

解决方法： 在升级 Sentinel 后，重创建并重安排搜索来查看日程表页中的事件字段面板。

问题： 当您通过单击该规则的关联摘要页的活动统计面板的 Fire 计数旁边的图标，搜索部署或启用该规则后生成的所有关联事件时，Sentinel 不会返回任何关联事件。(Bug 912820)

解决方法： 将事件搜索页中 From 字段的值更改为一个早于此字段中填充时间的时间，并再次单击搜索。

问题： 在安全智能基线重新生成期间，基线的开始和结束日期不正确，并显示为 1/1/1970。(Bug 912009)

解决方法： 在完成基线的重新生成后，更新正确的日期。

问题： 如果在单个分区中有大量索引的事件，运行搜索时，Sentinel 服务器会关闭。(Bug 913599)

解决方法： 通过在一天中至少打开两个分区的方式，创建保留策略。打开多个分区有助于减少分区中索引的事件数量。

问题： 当您使用 report_dev_setup.sh 脚本为防火墙异常配置 Sentinel 端口时，Sentinel 显示错误。(Bug 914874)

解决方法： 通过以下步骤，为防火墙异常配置 Sentinel 端口：

问题： 当在 Microsoft Active Directory 和 Windows Collector 上启用通用主机名解析服务收集器时，Sentinel 通用收集器的性能会下降。当远程 Collector Manager 发送事件时，EPS 下降 50%。(Bug 906715)

解决方法： 目前没有任何解决方法。

问题： 当您在 FIPS 140-2 模式下安装 Sentinel 时，连接到安全智能数据库的连接器无法启动，并且 Sentinel 无法访问安全智能、Netflow 和警报数据。(Bug 915241)

解决方法： 在 FIPS 140-2 模式中进行安装和配置后，重启动 Sentinel。

问题： 当在 Sentinel 中导出搜索结果时，如果您修改操作系统语言设置，Web 浏览器可能显示一则错误信息。(Bug 834874)

解决方法： 若要正确导出搜索结果，请执行任一下列操作：

问题： 当您等待一个报告结果 PDF（具体而言，100 万个事件的报告结果）打开时，如果单击另一个报告结果 PDF 进行查看，则不会显示报告结果。(Bug 804683)

解决方法： 再次单击第二个报告结果 PDF 即可查看报告结果。

问题： 在 Sentinel 环境中启用了 FIPS 140-2 模式时，如果对代理管理器使用 Windows 鉴定，将导致与代理管理器数据库的同步失败。(Bug 814452)

解决方法： 在 Sentinel 环境中启用了 FIPS 140-2 模式时，对代理管理器使用 SQL 鉴定。

问题： 在非 FIPS 140-2 模式下成功完成了 Sentinel 高可用性安装，但会显示以下错误两次：

解决方法： 应该显示该错误，您可以安全地将其忽略。虽然安装程序会显示错误，但 Sentinel 高可用性配置将在非 FIPS 140-2 模式下成功地正常工作。

问题： 当 Sentinel 主界面的计算机时钟比 Sentinel 服务器时钟慢时，Sentinel 主界面会在“活动搜索作业的持续时间”和“已访问”列中显示负数。例如，当 Sentinel 主界面时钟设置为 1:30 PM，而 Sentinel 服务器时钟设置为 2:30 PM 时，“持续时间”和“已访问”列便会显示负数。(Bug 719875)

解决方法： 确保您用于访问 Sentinel 主界面的计算机上的时间与 Sentinel 服务器计算机上的时间相同或比该时间要晚。

问题： 当您登录到安全性仪表板并进行 IssueSAMLToken 审计事件的搜索操作时，IssueSAMLToken 审计事件将显示错误的主机名 (InitiatorUserName) 或（IP 地址）SourceIP。(Bug 870609)

解决方法： 目前没有任何解决方法。