Sentinel 8.1 Service Pack 1 发布说明

登录 Sentinel 服务器并打开 /etc/opt/novell/sentinel/config/server.xml 文件。

找到以下属性：

<property name="reporting.process.oktorunstandalone">true</property>

将设置更改为 false：

<property name="reporting.process.oktorunstandalone">false</property>

重启动 Sentinel。

以根用户身份登录到 Sentinel 服务器、RCM 或 RCE。

启动  YaST 软件管理器：

yast sw_single

搜索以下包并安装或升级到最新版本：

清理之前 FIPS 转换尝试的项目：

 rm -rf /etc/opt/novell/sentinel/3rdparty/nss
 rm /etc/opt/novell/sentinel/3rdparty/newpwfile

重试 FIPS 转换。

在 server.log 文件中，搜索 Failed to initialize CorrelationEngine。

例如，搜索 Failed to initialize CorrelationEngine 之后，您将看到类似以下讯息的日志讯息：

Wed May 17 10:58:09 CDT 2017|INFO|Container Startup Thread|esecurity.base.ccs.proxy.ComponentElementProxy.activate

Failed to initialize CorrelationEngine

向上滚动查看之前的日志讯息，该信息指定了规则并显示其语法。该讯息类似以下讯息：

Wed May 17 10:58:09 CDT 2017|SEVERE|Container Startup Thread|esecurity.base.ccs.proxy.ComponentElementProxy.activate

Root cause: Duration must be within a day (antlr.RecognitionException)

esecurity.ccs.correlation.impl.tpm.IllegalRuleException: SEN-13003 Invalid Rule Definition: filter(((e.evt = "GET: Forbidden")) AND ((e.port = "Apache HTTP Server")) AND ((e.dhn = "n0")) AND ((e.fn != "favicon.ico")) AND ((e.fn != "apple-touch-icon-precomposed.png")) AND ((e.fn != "apple-touch-icon.png")) AND ((e.fn != "apple-touch-icon-120x120-precomposed.png")) AND ((e.fn != "apple-touch-icon-120x120.png")))flow trigger(20,86460,discriminator(e.sip))

在此示例中，日志讯息表明发生问题，因为指定持续时间超过一天。规则语法指定的秒数 (86460) 比一天的秒数 (86400) 多。

登录到 Sentinel。

打开新浏览器选项卡。

在新选项卡中，前往以下 URL：

https://<YOUR SENTINEL IP>:8443/SentinelRESTServices/objects/correlation-rule

要在关联规则列表中找到规则名称和 ID，请搜索规则语法独特的部分，如 86460。

（有条件）如果您无法在关联规则列表中找到规则名称和 ID，请完成以下步骤：

（有条件）如果您尚未切换为 novell 用户，打开命令提示符并切换为 novell 用户。使用以下命令：

su -novell

切换到 /opt/novell/sentinel/bin 目录。

校验规则是否在数据库中。使用以下 SQL 命令：

./db.sh sql SIEM dbauser "select * from CORR_RULE where RULE_ID=RuleID"

其中 RuleID 是您之前找到的规则 ID。

使用不会在验证期间触发错误的新过滤器更新规则。使用以下 SQL 命令：

./db.sh sql SIEM dbauser "update CORR_RULE set rule_lg = 'filter(1=0)' where RULE_ID=RuleID"

其中 RuleID 是您之前找到的规则 ID。

校验数据库中的过滤器是否已更改。使用以下 SQL 命令：

./db.sh sql SIEM dbauser "select * from CORR_RULE where RULE_ID=RuleID"

其中 RuleID 是您之前找到的规则 ID。

停止 Sentinel。使用以下命令：

./server.sh stop

重启动 Sentinel。使用以下命令：

./server.sh start

在主动节点上以 root user 身份登录。

打开 /etc/csync2/csync2.cfg 文件。

更改下列行：

include /etc/opt/novell/sentinel/3rdparty/nss/*;

更改为

include /etc/opt/novell/sentinel/3rdparty/nss;

保存 csync2.cfg 文件。

通过运行以下命令手动启动同步：

csync2 -x -v

在仅匹配准则的事件字段中指定准则。如果用户处于不应看到任何事件的角色中，则您可以输入 NOT sev:[0 TO 5]。

选择查看系统事件。

选择查看所有事件数据（包括原始数据和 NetFlow 数据）。

打开 /etc/sysconfig/SuSEfirewall2 文件。

更改下列行：

FW_SERVICES_EXT_TCP=" 443 8443 4984 22 61616 10013 289 1289 1468 1443 40000:41000 1290 1099 2000 1024 1590"

更改为

FW_SERVICES_EXT_TCP=" 443 8443 4984 22 61616 10013 289 1289 1468 1443 40000:41000 1290 1099 2000 1024 1590 5432"

重启动 Sentinel。