Sentinel 8.1 Service Pack 1 版本說明

登入 Sentinel 伺服器並開啟 /etc/opt/novell/sentinel/config/server.xml 檔案。

找到下列內容：

<property name="reporting.process.oktorunstandalone">true</property>

變更設定為 false：

<property name="reporting.process.oktorunstandalone">false</property>

重新啟動 Sentinel。

以 root 使用者的身分登入 Sentinel 伺服器、RCM 或 RCE。

啟動 YaST 軟體管理員：

yast sw_single

搜尋下列套件，並安裝或升級至最新版本：

清理先前嘗試進行 FIPS 轉換時產生的成品：

 rm -rf /etc/opt/novell/sentinel/3rdparty/nss
 rm /etc/opt/novell/sentinel/3rdparty/newpwfile

重新嘗試 FIPS 轉換。

在 server.log 檔案中，搜尋「Failed to initialize CorrelationEngine」 (無法啟始化 CorrelationEngine)。

例如，當您搜尋「Failed to initialize CorrelationEngine」 (無法啟始化 CorrelationEngine)，您會看到與以下訊息相似的記錄訊息：

Wed May 17 10:58:09 CDT 2017|INFO|Container Startup Thread|esecurity.base.ccs.proxy.ComponentElementProxy.activate

Failed to initialize CorrelationEngine (無法啟始化 CorrelationEngine)

向上捲動查看上一個記錄訊息，當中會指定規則和顯示其語法。將會和以下訊息相似：

Wed May 17 10:58:09 CDT 2017|SEVERE|Container Startup Thread|esecurity.base.ccs.proxy.ComponentElementProxy.activate

Root cause: Duration must be within a day (antlr.RecognitionException) (根本原因：期間必須少於一天 (antlr.RecognitionException))

esecurity.ccs.correlation.impl.tpm.IllegalRuleException: SEN-13003 Invalid Rule Definition: filter(((e.evt = "GET: Forbidden")) AND ((e.port = "Apache HTTP Server")) AND ((e.dhn = "n0")) AND ((e.fn != "favicon.ico")) AND ((e.fn != "apple-touch-icon-precomposed.png")) AND ((e.fn != "apple-touch-icon.png")) AND ((e.fn != "apple-touch-icon-120x120-precomposed.png")) AND ((e.fn != "apple-touch-icon-120x120.png")))flow trigger(20,86460,discriminator(e.sip))

在此例子中，記錄訊息表明發生問題是因為指定期間多於一天。規則語法指定的秒數 (86460) 多於一天 (86400)。

登入 Sentinel。

開啟新瀏覽器分頁。

在新分頁中，前往以下 URL：

https://<YOUR SENTINEL IP>:8443/SentinelRESTServices/objects/correlation-rule

若要在關連規則清單中尋找規則名稱和 ID，請搜尋規則語法的獨特部份，例如 86460。

(條件式) 如果您在關連規則清單中找不到規則名稱和 ID，請完成以下步驟：

(條件式) 如果您還未切換至 Novell 使用者，請開啟指令提示並切換至 Novell 使用者。使用以下指令：

su -novell

移至 /opt/novell/sentinel/bin 目錄。

驗證規則是位於資料庫中。使用以下 SQL 指令：

./db.sh sql SIEM dbauser "select * from CORR_RULE where RULE_ID=RuleID"

RuleID 是您先前找到規則的 ID。

在驗證期間使用不會觸發錯誤的新過濾器更新規則。使用以下 SQL 指令：

./db.sh sql SIEM dbauser "update CORR_RULE set rule_lg = 'filter(1=0)' where RULE_ID=RuleID"

RuleID 是您先前找到規則的 ID。

驗證已變更資料庫中的過濾器。使用以下 SQL 指令：

./db.sh sql SIEM dbauser "select * from CORR_RULE where RULE_ID=RuleID"

RuleID 是您先前找到規則的 ID。

停止 Sentinel. 使用以下指令：

./server.sh stop

重新啟動 Sentinel。使用以下指令：

./server.sh start

在主動節點上使用 root 使用者身分登入。

開啟 /etc/csync2/csync2.cfg 檔案。

變更下行：

include /etc/opt/novell/sentinel/3rdparty/nss/*;

to

include /etc/opt/novell/sentinel/3rdparty/nss;

儲存 csync2.cfg 檔案。

執行下列指令手動啟動同步化：

csync2 -x -v

在「僅符合準則的事件」欄位中指定一個準則。若角色的使用者不應看到任何事件，您可輸入「NOT sev:[0 TO 5]」。

選取「檢視系統事件」。

選取「檢視所有的事件資料 (包括未經處理資料和 NetFlow 資料)」。

開啟 /etc/sysconfig/SuSEfirewall2 檔案。

變更下行：

FW_SERVICES_EXT_TCP=" 443 8443 4984 22 61616 10013 289 1289 1468 1443 40000:41000 1290 1099 2000 1024 1590"

至

FW_SERVICES_EXT_TCP=" 443 8443 4984 22 61616 10013 289 1289 1468 1443 40000:41000 1290 1099 2000 1024 1590 5432"

重新啟動 Sentinel。