2 Recursos do Novell Sentinel Log Manager

Transcrição

1 Notas de Versão do Novell Sentinel Log Manager 1.0 Novell 31 de julho de 2009 Seção 1, Visão geral na página 1 Seção 2, Recursos do Novell Sentinel Log Manager na página 1 Seção 3, Requisitos do sistema na página 3 Seção 4, Instalação na página 4 Seção 5, Problemas conhecidos na página 5 Seção 6, Convenções da documentação na página 11 Seção 7, Informações Legais na página 12 1 Visão geral O Novell Sentinel TM Log Manager fornece elevado processamento de taxa de eventos, retenção de dados em longo prazo, agregação de dados regionais e pesquisa e gerador de relatórios simples para uma ampla gama de aplicativos e dispositivos. O Novell Sentinel Log Manager coleta dados em uma grande variedade de dispositivos, inclusive sistemas de detecção de intrusão, firewalls, sistemas operacionais, roteadores, servidores web, bancos de dados, switches, mainframes e fontes de eventos antivírus. 2 Recursos do Novell Sentinel Log Manager Seção 2.1, Fácil instalação e rápida implantação na página 1 Seção 2.2, Coleta de dados na página 2 Seção 2.3, Armazenamento e gerenciamento de dados na página 2 Seção 2.4, Gerador de relatórios e pesquisa na página 3 Seção 2.5, Opções de arquitetura na página Fácil instalação e rápida implantação É fácil instalar e implantar o Novell Sentinel Log Manager, e com ele você poderá coletar dados, armazenar itens, gerar relatórios e pesquisar dados de registro. Esse programa possui uma instalação completa que inclui o servidor Sentinel Log Manager, o servidor web, o servidor gerador de relatórios e o banco de dados de configuração. A instalação padrão pode ser executada em máquinas com um sistema operacional pré-instalado. A opção de instalação de aplicação de software inclui um sistema operacional embutido e um serviço de atualização que permite detectar automaticamente patches disponíveis para o sistema operacional ou para o software Sentinel Log Manager. 1

2 2.2 Coleta de dados O Novell Sentinel Log Manager é capaz de coletar e gerenciar dados de uma grande variedade de fontes de eventos. Ele coleta dados de fontes de eventos que geram registros para Syslog, Registro de Eventos do Windows*, Arquivos, Bancos de Dados, SNMP, Novell Audit, SDEE, Check Point OPSEC, além de outros protocolos e mecanismos de armazenamento. Em conexões com Syslog e Novell Audit, o Novell Sentinel Log Manager também oferece suporte avançado e com base na web a interfaces do usuário, o que facilita a coleta de registros de fontes de eventos que usam esses protocolos. Ao efetuar login no Log Manager, você pode direcionar os registros para o Log Manager, começar a executar relatórios e executar uma pesquisa. O Novell Sentinel Log Manager usa diversos métodos de conexão para coletar dados: Conector Syslog para aceitar e configurar automaticamente fontes de dados syslog que enviam dados por UDP padrão, TCP confiável ou TLS seguro Conector de Auditoria para aceitar e configurar automaticamente fontes de dados da Novell habilitadas para auditoria Conector de Arquivo para ler arquivos de registro Conector SNMP para receber detecções de SNMP Conector JDBC* para ler tabelas de bancos de dados Conector WMS para acessar registros de eventos do Windows* em áreas de trabalho e servidores Conector SDEE para dispositivos Cisco* Conector LEA para dispositivos Check Point* Conector Login do Sentinel para aceitar dados de outros servidores do Novell Sentinel Log Manager organizados hierarquicamente Conector de Processos para aceitar dados de processos personalizados que geram registros de eventos Você também pode adquirir uma licença adicional para fazer download dos conectores em sistemas operacionais mainframe e SAP*. Mensagens de fontes de dados reconhecidas são analisadas em campos, como os campos de IP de destino e nome de usuário de origem. Mensagens de fontes de dados não reconhecidas são colocadas intactas em um único campo para armazenamento, pesquisa e geração de relatório. Todos os dados podem ser filtrados para que eventos indesejados sejam descartados. 2.3 Armazenamento e gerenciamento de dados O Novell Sentinel Log Manager armazena todos os dados de registro em formato compactado no sistema de arquivos. Os dados podem ser arquivados localmente ou em um compartilhamento CIFS ou NFS montado remotamente. Os administradores podem definir políticas de retenção de dados para configurar o sistema para manter alguns dados por muito tempo e outros por pouco tempo. Um hash de criptografia (SHA-256) é calculado para dados de eventos e dados não processados a fim de garantir a integridade dos dados. O hash de dados não processados pode ser verificado na interface da web do Sentinel Log Manager. 2 Notas de Versão do Novell Sentinel Log Manager 1.0

3 2.4 Gerador de relatórios e pesquisa O Novell Sentinel Log Manager realiza pesquisas de texto completo em todos os dados de eventos, mas também realiza pesquisas concentradas em campos de eventos específicos, como o campo de nome de usuário de origem. Você pode tornar essas pesquisas ainda mais restritas, pode gravá-las para revisão futura ou pode filtrá-las e formatá-las aplicando um gabarito de relatório aos resultados. O Sentinel Log Manager é fornecido com mais de 160 relatórios pré-instalados. Além disso, ele tem a capacidade de fazer upload de relatórios adicionais. Esses relatórios podem ser programados ou podem ser executados ad hoc. As pesquisas e os relatórios são executados tanto em dados ativos quanto em dados arquivados. 2.5 Opções de arquitetura Os gerenciadores de coletor do Sentinel Log Manager gerenciam todos os processos de coleta de dados e as análises de dados. A instalação do servidor do Sentinel Log Manager no SUSE Linux Enterprise Server 11 (SLES 11) inclui um Gerenciador de Coletor, mas você também pode instalar vários gerenciadores de coletor na sua empresa. Os gerenciadores de coletor remotos oferecem diversas vantagens: Análise e processamento de eventos distribuídos para melhorar o desempenho do sistema. Colocação com fontes de eventos, o que permite filtrar, criptografar e compactar dados na origem. Isso pode aumentar a segurança dos dados e reduzir os requisitos de banda larga da rede. Instalação em sistemas operacionais adicionais (por exemplo, instalação no Microsoft* Windows* para permitir que dados sejam coletados com o protocolo WMI). Armazenamento de arquivos em cache, o que permite que o gerenciador de coletor remoto armazene em cache grandes volumes de dados enquanto o servidor está temporariamente ocupado executando arquivamentos ou processando um pico de eventos. Isso é uma vantagem para protocolos que, como o syslog, não suportam o cache de eventos de forma nativa. O Sentinel Link pode ser usado para encaminhar dados de eventos de um Sentinel Log Manager para outro. Com a organização hierárquica dos Sentinel Log Managers, é possível reter registros completos em várias regiões e encaminhar eventos mais importantes para um único Sentinel Log Manager, de modo a centralizar a realização de pesquisas e a geração de relatórios. Além disso, o Sentinel Link pode encaminhar eventos importantes para o Novell Sentinel, um sistema completo de Gerenciamento de Segurança, Informações e Eventos (SIEM), para correlação avançada, correção de incidentes e injeção de informações contextuais de alto valor (por exemplo, informações de identidade ou importância do servidor fornecidas por um sistema de gerenciamento de identidade). 3 Requisitos do sistema Para obter informações detalhadas sobre requisitos de hardware e sobre sistemas operacionais, fontes de eventos e browsers suportados, consulte System Requirements ( documentation/novelllogmanager10/novell_log_manager/data/bjx8zq7.html) (Requisitos do sistema) no Novell Sentinel Log Manager Guide (Guia do Novell Sentinel Log Manager). 3

4 4 Instalação Use o procedimento a seguir para executar uma instalação rápida e simples do Novell Sentinel Log Manager como root. Para saber como executar um procedimento de instalação mais seguro, consulte Installing and Uninstalling Novell Sentinel Log Manager ( novelllogmanager10/novell_log_manager/data/ bjx8x36.html) (Instalando e desinstalando o Novell Sentinel Log Manager) no Novell Sentinel Lo g Manager Guide (Guia do Novell Sentinel Log Manager). 1 Faça download do arquivo sentinel_log_mgr_1.0_x86-64.tar.gz ou copie-o para um diretório temporário. 2 Mude para o diretório temporário (se necessário). 3 Efetue login como root no servidor em que deseja instalar o Log Manager. 4 Extraia o script de instalação do arquivo usando o seguinte comando: tar xfz sentinel_log_mgr_1.0_x86-64.tar.gz sentinel_log_mgr_1.0_x86-64/ setup 5 Execute o script root_install_all.sh com privilégios root. sentinel_log_mgr_1.0_x86-64/setup/root_install_all.sh sentinel_log_mgr_1.0_x86-64.tar.gz Você pode efetuar login como root e executar o comando acima ou pode usar o comando sudo para executá-lo. 6 Para escolher um idioma para o contrato de licença e para o instalador, digite um número. O contrato de licença de usuário final será exibido no idioma selecionado. 7 Leia a licença de usuário final e digite 1 ou y caso concorde com os termos e deseje continuar com a instalação. O instalador inclui uma chave de licença de avaliação válida por 90 dias. Essa chave de licença ativa o conjunto completo de recursos do produto por um período de teste de 90 dias. A qualquer momento durante ou após o período de teste, você pode substituir a licença de avaliação por uma chave de licença comprada. Para obter mais informações, consulte Managing License Keys ( documentation/novelllogmanager10/novell_log_manager/data/bl5gses.html) (Gerenciando chaves de licença) no Novell Sentinel Log Manager Guide (Guia do Novell Sentinel Log Manager). A instalação será iniciada. Se o idioma selecionado não estiver disponível para o instalador, ele continuará em inglês. O usuário novell e o grupo novell serão criados, se ainda não existirem. O usuário novell é criado sem uma senha. Para poder efetuar login como o usuário novell mais tarde (por exemplo, para instalar patches), você pode criar uma senha para esse usuário após a conclusão da instalação. 8 Especifique a senha do administrador do banco de dados (dbauser). 9 Confirme a senha do administrador do banco de dados (dbauser). 10 Especifique a senha do usuário admin. 11 Confirme a senha do usuário admin. 4 Notas de Versão do Novell Sentinel Log Manager 1.0

5 Depois que o serviço do Sentinel Log Manager for iniciado, você poderá efetuar login no URL (por exemplo: especificado na saída de instalação. O sistema começa a processar eventos do Log Manager de forma imediata e fica totalmente funcional depois que você configura as fontes de eventos para enviar dados ao Sentinel Log Manager. 5 Problemas conhecidos Seção 5.1, Problemas conhecidos do Sentinel Log Manager na página 5 Seção 5.2, Problemas conhecidos dos Plug-ins do Sentinel na página Problemas conhecidos do Sentinel Log Manager Esta seção lista os problemas conhecidos do Novell Sentinel Log Manager 1.0. Table 1 Problemas conhecidos do Sentinel Log Manager 1.0 Defeitos Problema: Às vezes, uma pesquisa de nível superior usa argumentos da pesquisa anterior. Solução: Execute a pesquisa novamente Problema: Os links Exportar Resultados e Gravar Como Relatório não ficam visíveis depois que a operação de pesquisa é executada por meio da opção personalizada na página de resultados da pesquisa. Solução: Para ver todos os links, defina a resolução de tela como 1280 x Problema: Ocorre falha na primeira tentativa de inicialização do aplicativo Gerenciamento de Fonte de Eventos (ESM) quando ele é instalado em um servidor em que nunca foi instalado antes. Solução: Inicie o aplicativo novamente. 5

6 Defeitos Problema: No browser Firefox, se você efetua login no Sentinel Log Manager com credenciais de permissão de administrador de relatório ou admin e grava duas vezes as configurações do usuário conectado, a permissão de auditor é usada por padrão. Solução: Para evitar perder o privilégio de Administrador inadvertidamente, clique no botão Gravar apenas uma vez depois de editar seu perfil. Em seguida, efetue logout ou login antes de editar o perfil novamente. Devido a esse bug, é possível que o usuário admin perca seus privilégios de Administrador. Isso significa que nem mesmo o usuário admin poderá efetuar login no sistema para corrigir as permissões de outros usuários mudadas acidentalmente. Se isso acontecer, execute as seguintes etapas para restaurar o privilégio de Administrador do usuário admin: 1. Efetue login na máquina em que o Sentinel Log Manager está instalado como usuário novell. 2. Vá para o cd /opt/novell/sentinel_log_mgr_1.0_x Execute o seguinte comando para carregar as variáveis de ambiente que serão necessárias para a execução do comando na próxima etapa:. bin/setenv.sh 4. Execute o seguinte comando para restaurar o privilégio de Administrador do usuário admin: 3rdparty/postgresql/bin/psql -d SIEM -U dbauser -c "update users set permissions= permissions ':SCOUT_ADMIN:REP_MANAGE' where name='admin' and stt_id=12" No Microsoft Internet Explorer* 8, todas as janelas pop-up do javascript exibem erro quando o idioma francês (fr), italiano (it) ou espanhol (es) é selecionado na página de login. Solução: Use o browser da web Firefox Problema: Se o arquivamento for configurado para usar NFS e a conexão com o servidor NFS for perdida, o processo de arquivamento será interrompido e os gráficos de armazenamento da interface do usuário não serão exibidos. Solução: Reinicie o serviço do Sentinel Log Manager para corrigir o problema. Depois que o serviço for reiniciado, o arquivamento continuará do ponto em que parou e os gráficos de armazenamento reaparecerão na interface do usuário. Para reiniciar, execute o seguinte comando: /opt/novell/sentinel_log_mgr_1.0_x86-64/bin/server.sh restart Problema: Depois que você clica no link detalhes+ para obter os resultados da pesquisa individual, os links todos os detalhes++ e todos os detalhes-- não funcionam corretamente. Solução: Evite usar o link todos os detalhes até que esse problema seja corrigido. 6 Notas de Versão do Novell Sentinel Log Manager 1.0

7 Defeitos Problema: O prompt para o uso da licença de avaliação de 90 dias só existe na versão em inglês do produto. 7

8 Defeitos Problema: Se o comando hostname -f não retornar um nome de host válido durante a instalação do Sentinel Log Manager, o usuário não conseguirá aceitar um certificado quando o Gerenciador de Coletor for instalado. Solução: Para evitar o problema, antes de instalar o servidor Log Manager, teste o comando hostname -f para verificar se ele retorna um nome de host válido. Realize esse teste na máquina em que o servidor Log Manager está instalado, não na máquina em que o Gerenciador de Coletor será instalado. Se ficar preso em um loop durante a instalação do Gerenciador de Coletor, esta será a solução: 1. Não é necessário sair da instalação do Gerenciador de Coletor. Em vez disso, siga as etapas abaixo enquanto a instalação do Gerenciador de Coletor permanece no prompt de usuário/senha. 2. Efetue login no servidor Log Manager como usuário novell. 3. Execute o seguinte comando: server.sh stop 4. Especifique o comando para a mudança de diretório: cd /opt/ novell/sentinel_log_mgr_1.0_x86-64/config 5. hostname -f (verifique se um nome de host válido é retornado; se isso não acontecer, corrija o nome de host) Observação: Todas as senhas devem ser mantidas como password nos comandos a seguir.../jre/bin/keytool -delete -alias broker - keystore.activemqkeystore.jks -storepass password../jre/bin/keytool -genkey -alias broker - keyalg RSA -keystore.activemqkeystore.jks - storepass password -keypass password -dname "CN=`hostname -f`, O=broker"../jre/bin/keytool -list -keystore.activemqkeystore.jks -v -storepass password../jre/bin/keytool -export -alias broker - keystore.activemqkeystore.jks -storepass password -file.activemq.cer../jre/bin/keytool -delete -alias broker - keystore.activemqclientkeystore.jks - storepass password../jre/bin/keytool -import -noprompt -alias broker -keystore.activemqclientkeystore.jks - storepass password -file.activemq.cer 6. Execute o seguinte comando: server.sh start 7. Volte para a instalação do Gerenciador de Coletor e digite user/ pass/accept cert. Você verá um nome de emissor válido e a aceitação do certificado continuará normalmente. 8 Notas de Versão do Novell Sentinel Log Manager 1.0

9 Defeitos Problema: A interface do usuário do arquivo de dados sempre reporta o seguinte erro ao definir o local do arquivo, mesmo que a gravação tenha sido bem-sucedida: Falha ao gravar configuração do arquivo de dados. Não foi possível configurar o arquivo, pois ele já havia sido configurado. Solução: Ignore essa mensagem de erro. Caso um erro real tenha ocorrido, a mensagem de erro detalhada será modificada para algo como a mensagem a seguir e você perceberá que as configurações do arquivo não foram gravadas: Falha ao gravar configuração do arquivo de dados. Erro ao montar /sdf de ; valor de saída Problema: Se muitos relatórios forem executados em um curto espaço de tempo (por exemplo, relatórios em 5-10 minutos), o seguinte erro poderá ocorrer: java.lang.outofmemoryerror: PermGen space Solução: Esse erro é temporário e ocorre em conseqüência do número de relatórios em execução. Tente executar o relatório novamente mais tarde Problema: Os links de comunicação entre o servidor Log Manager e o Tomcat ou os Gerenciadores de Coletor nem sempre se recuperam depois de ficarem temporariamente inativos. O link pode ter ficado temporariamente inativo devido a falhas na rede, a uma sobrecarga do sistema ou a diversos outros motivos. Se isso ocorrer no link com o Tomcat, o Servidor Web não responderá mais. Se isso ocorrer no link com os Gerenciadores de Coletor, os dados dos Gerenciadores de Coletor não fluirão mais para o Log Manager, mas serão armazenados em cache no sistema de arquivos do Gerenciador de Coletor. Solução: Se esse problema acontecer, execute a seguinte operação para restabelecer a conexão: Caso o link com o Tomcat seja quebrado, reinicie o servidor Tomcat eliminando o processo existente. Isso fará com que um novo processo do Tomcat seja iniciado automaticamente. Para localizar o id do processo do servidor Tomcat, execute ps -ef grep tomcat na linha de comando. Caso o link com o Gerenciador de Coletor seja quebrado, reinicie o Gerenciador de Coletor cujo link foi quebrado. 5.2 Problemas conhecidos dos Plug-ins do Sentinel Os coletores incluídos no bundle do Sentinel Log Manager que suportam as fontes de eventos a seguir possuem problemas conhecidos. Esses problemas foram corrigidos na versão mais recente dos coletores, que está disponível no site de Conteúdo do Sentinel 6.1 ( products/sentinel/sentinel61.html). Novell Access Manager 3.1 9

10 Novell Identity Manager Novell Netware 6.5 Novell Modular Authentication Services 3.3 Novell Open Enterprise Server Novell SUSE Linux Enterprise Server Novell edirectory TM com o patch de instrumentação edirectory encontrado no site de Suporte da Novell ( Novell imanager 2.7 McAfee* VirusScan* Enterprise (8.0i, 8.5i e 8.7i) A tabela a seguir lista os problemas conhecidos dos Plug-ins do Sentinel: Table 2 Problemas conhecidos dos Plug-ins do Sentinel Defeitos Problema: Se a fila ficar cheia, um comportamento inesperado poderá ocorrer. Se um limite de tamanho de fila for definido para o Integrador e a fila ficar cheia, e se a configuração do Integrador especificar que as mensagens mais antigas devem ser eliminadas, talvez ocorra conflito entre o thread que está tentando eliminar as mensagens mais antigas e o thread que está lendo dados da fila para enviar via cabo. Um ou ambos os threads podem modificar o indicador de leitura da fila de forma incorreta. É possível também que ocorram outros comportamentos inesperados, como exceções. Solução: Não especifique um limite de fila. ou Especifique que as mensagens mais recentes, e não as mais antigas, devem ser eliminadas. 10 Notas de Versão do Novell Sentinel Log Manager 1.0

11 Defeitos Problema: Os threads dos Integradores não são iniciados junto com o servidor. Atualmente, o Integrador do Sentinel Link só é iniciado quando recebe seu primeiro evento de uma ação. Isso ocorre porque é possível que existam eventos a serem encaminhados armazenados na fila. Quando o Integrador é iniciado, um thread de segundo plano também é iniciado para processar o evento. Solução: Se o Integrador não estiver enviando eventos, porque não há eventos a serem enviados ou porque os eventos estão sendo filtrados por regras, você precisará gerar um evento falso que não seja filtrado para iniciar o Integrador. Para determinar se o thread do Integrador foi iniciado, procure uma mensagem no registro que indique que o Integrador foi iniciado. Ela será registrada pelo registrador StoreAndForward (esecurity.ccs.comp.integrator.slink.storeandforward) e será semelhante a esta mensagem: Mensagens de processamento de thread de fila de armazenamento e encaminhamento sendo iniciadas. ou Thread SentinelLinkStoreAndForward sendo iniciado. Observação: A mensagem real pode ser diferente; portanto, procure mensagens registradas por StoreAndForward Problema: O coletor pára de solicitar dados ao Conector de Banco de Dados quando a fonte de eventos é reiniciada mas o coletor não. Solução: Pare o coletor e inicie a fonte de eventos. A inicialização da fonte de eventos faz com que o coletor seja iniciado Problema: Quando você configura uma fonte de eventos de Arquivo, o botão Procurar não funciona corretamente quando a Interface do Gerenciamento de Fonte de Eventos é executada em determinados sistemas operacionais (por exemplo, Windows XP). Solução: Digite o caminho do arquivo ou do diretório no campo de texto Problema: A documentação de alguns conectores apresenta a versão incorreta do conector. Por exemplo, a documentação pode informar 6r5 quando na verdade a versão do conector é 6r6. Solução: Isso é um erro de ortografia. Para determinar a versão correta do conector, abra a Interface do Gerenciamento de Fonte de Eventos, selecione o conector na lista de conectores à esquerda da interface e clique no botão info. 6 Convenções da documentação Nesta documentação, o símbolo maior que (>) é utilizado para separar ações dentro de uma etapa e itens em um caminho de referência cruzada. 11

12 Um símbolo de marca registrada (, TM, etc.) indica uma marca registrada da Novell; um asterisco (*) indica uma marca registrada de terceiros 7 Informações Legais A Novell, Inc. não faz representações nem garantias com relação ao conteúdo ou uso da presente documentação e, particularmente, não se responsabiliza por quaisquer garantias expressas ou implícitas de adequação comercial ou adequação a qualquer finalidade específica. Além disso, a Novell, Inc. reserva-se o direito de revisar esta publicação e fazer mudanças em seu conteúdo, a qualquer momento, sem a obrigação de notificar qualquer pessoa ou entidade de tais revisões ou mudanças. Ainda, a Novell, Inc. não faz declarações nem garantias com relação a qualquer software e, particularmente, não se responsabiliza por quaisquer garantias expressas ou implícitas de adequação comercial ou adequação a qualquer finalidade específica. Por fim, a Novell, Inc. reserva-se o direito de fazer mudanças em qualquer uma ou todas as partes do software da Novell, a qualquer momento, sem a obrigação de notificar qualquer pessoa ou entidade de tais mudanças. Quaisquer informações técnicas ou sobre produtos fornecidas de segundo os termos do presente Contrato estão sujeitas aos controles de exportação dos EUA e às leis comerciais de outros países. Você concorda em obedecer a todos os regulamentos de controle de exportação e em adquirir quaisquer licenças ou classificações necessárias para exportar, reexportar ou importar produtos. Você concorda em não exportar nem reexportar para entidades que constam nas listas de exclusão de exportação atual dos EUA ou para qualquer país embargado ou terrorista conforme especificado nas leis de exportação dos EUA. Você concorda em não usar produtos para fins proibidos relacionados a armas nucleares, biológicas e químicas ou mísseis. Consulte a página da Web Novell International Trade Services ( para obter mais informações sobre a exportação de software da Novell. A Novell não se responsabiliza pela falha em obter as aprovações necessárias para exportação. Copyright 2009 Novell, Inc. Todos os direitos reservados. Nenhuma parte desta publicação poderá ser reproduzida, fotocopiada, armazenada em um sistema de recuperação ou transmitida sem o consentimento expresso por escrito do editor. A Novell, Inc. tem direitos de propriedade intelectual relacionados à tecnologia incorporada no produto descrito neste documento. Especificamente e sem limitações, esses direitos de propriedade intelectual podem incluir uma ou mais das patentes dos E.U.A. listadas na página de patentes legais da Novell na Web ( e uma ou mais patentes adicionais ou aplicativos de patentes pendentes nos E.U.A. e em outros países. Para as marcas registradas da Novel, consulte a lista de marcas registradas e marcas de serviço da Novell ( Todas as marcas registradas de terceiros pertencem aos seus respectivos proprietários. 12 Notas de Versão do Novell Sentinel Log Manager 1.0