McAfee Enterprise Security Manager 9.5.1

Transkript

1 Versionsinformationen McAfee Enterprise Security Manager Inhalt Informationen zu dieser Version Neue Funktionen in Behobene Probleme Bekannte Probleme Upgrade-Anweisungen Quellen für Produktinformationen Informationen zu dieser Version Dieses Dokument enthält wichtige Informationen über die aktuelle Version. Es wird dringend empfohlen, das gesamte Dokument zu lesen. Ein automatisches Upgrade einer Vorabversion der Software wird nicht unterstützt. Wenn Sie ein Upgrade auf eine Produktionsversion der Software durchführen möchten, wenden Sie sich für weitere Informationen zum Upgrade an das [McAfee]-Beta-Team unter Neue Funktionen in McAfee Enterprise Security Manager (McAfee ESM) bietet eine breite Palette aktualisierter Funktionen, die die Security Connected-Vision, integrierte umfangreiche Sicherheitsdaten und erstklassige SIEM-Funktionen unterstützen. Abkopplung der Datenbank Die Datenbank ist jetzt von der Geschäftslogik der Anwendung abgekoppelt. Dadurch wird die Datenbank robuster und kann bei Fehlern schneller wiederhergestellt werden. Bisher führte der Neustart des Geräts bei Problemen zur langwierigen Wiederherstellung der Datenbank und zu unnötigen Ausfallzeiten. Durch die Trennung müssen weniger Daten wiederhergestellt werden. 1

2 Erfassung der Schicht 7 Daten zu Schicht 7 werden in der NSM-Datenbank (McAfee Network Security Manager) aufgefüllt, nachdem das NSM-Ereignis in die Datenbank geschrieben wurde. Die Daten gelangen nicht als Teil des Ereignisses in das System. Zum Abrufen von Informationen zu Schicht 7 aus NSM können Sie jetzt den Abruf des Ereignisses verzögern, sodass die Daten zu Schicht 7 enthalten sind. Diese Verzögerung können Sie beim Ausführen von drei verschiedenen Aktionen im Zusammenhang mit NSM festlegen: Hinzufügen eines McAfee NSM-Geräts zur Konsole Hinzufügen einer NSM-Datenquelle Konfigurieren eines NSM-Geräts Weitere Informationen finden Sie in der Online-Hilfe oder im Produkthandbuch unter Erfassung der Schicht 7 auf einem NSM-Gerät. Virtuelle lokale Laufwerke Sie können jetzt ein virtuelles Speichergerät im virtuellen ELM-Gerät erkennen und formatieren. Dieses Speichergerät kann dann für die Datenbankmigration und für Speicherpools verwendet werden. Weitere Informationen finden Sie in der Online-Hilfe oder im Produkthandbuch unter Einrichten eines virtuellen lokalen Laufwerks zum Speichern von Daten. Manuelles Importieren von Qualys-VA-Daten Wenn Sie keinen direkten Zugriff auf eine Qualys QualysGuard-Quelle haben, können Sie jetzt die Exportdatei für Schwachstellenbewertungen (VA) in einer Dateifreigabe ablegen oder sie zum Analysieren manuell hochladen. Weitere Informationen finden Sie in der Online-Hilfe oder im Produkthandbuch unter Verwalten von Quellen für Schwachstellenbewertungen. 1 Klicken Sie in der ESM-Konsole auf das Schnellstartsymbol für Asset Manager dann auf die Registerkarte Schwachstellenbewertung., und klicken Sie 2 Klicken Sie auf Hinzufügen, und wählen Sie dann im Feld Typ der VA-Quelle die Option Qualys QualysGuard aus. 3 Wählen Sie im Feld Methode eine der Optionen für die Dateifreigabe (SCP, FTP, NFS und CIFS) oder die Option Manueller Upload aus. Für manuell hochgeladene Qualys QualysGuard-Protokolldateien gilt ein Größenlimit von 2 GB. 4 Geben Sie die verbleibenden Informationen ein, und klicken Sie dann auf OK. 5 Führen Sie eine der folgenden Aktionen aus: Wenn Sie eine der Dateifreigabeoptionen ausgewählt haben, klicken Sie auf Abrufen, um die Daten zu erfassen. Wenn Sie Manueller Upload ausgewählt haben, klicken Sie auf Hochladen, um die Datei hochzuladen. Zeigen Sie die abgerufenen Daten in den Ansichten Ressource, Bedrohung und Schwachstelle an. Informationen zum Zugreifen auf diese Ansicht finden Sie in der Online-Hilfe oder im Produkthandbuch unter Vordefinierte Ansichten. Erfassen von AWS CloudTrail-Daten Sie können Daten aus Amazon Web Services (AWS) CloudTrail-Diensten erfassen, indem Sie eine Datenquelle hinzufügen. 2

3 1 Wählen Sie in der Systemnavigationsstruktur einen Empfänger aus, und klicken Sie dann auf das Symbol Eigenschaften. 2 Klicken Sie auf Datenquellen und dann auf Hinzufügen. 3 Wählen Sie im Feld Datenquellenanbieter die Option Amazon und dann im Feld Datenquellenmodell die Option CloudTrail aus. 4 Füllen Sie die allgemeinen Felder für die Datenquelle (klicken Sie auf das Symbol Hilfe, um Details anzuzeigen) und dann die Felder für AWS CloudTrail aus. AWS-Zugriffsschlüssel: Der Benutzername, den Sie für Ihr AWS-Konto verwenden Geheimer AWS-Schlüssel: Das Kennwort für Ihr AWS-Konto SQS-URL: Die von AWS bereitgestellte URL, die auf die SQS-Warteschlange verweist. Diese URL finden Sie bei der Anmeldung bei AWS in der SQS-Verwaltungskonsole. SQS-Zeitlimit für Sichtbarkeit: Gibt an, wie lange eine Nachricht oder ein Protokoll nach der Anfrage ausgeblendet bleibt. Wenn die Nachricht oder das Protokoll von der Erfassung nicht gelöscht wird, wird die Nachricht oder das Protokoll nach der Zeitüberschreitung (standardmäßig 300 Sekunden) wiederhergestellt. SQS-Abfrageintervall: Das Intervall zwischen Erfassungsanfragen (standardmäßig 300 Sekunden) Verbinden: Testen Sie die Verbindung mit AWS. Vergewissern Sie sich, dass die Verbindung erfolgreich hergestellt wurde, bevor Sie fortfahren. Wenn die Verbindung nicht erfolgreich hergestellt wurde, überprüfen Sie den AWS-Zugriffsschlüssel, den geheimen AWS-Schlüssel und die SQS-URL. Erfassungsfehler finden Sie in der Datei /var/log/cloudtrail.log.00. Sie können die Erfassung auch manuell ausführen, indem Sie den folgenden Befehl auf dem Empfänger ausführen: /usr/local/bin/cloudtrailcoll.pl -v <vipsid> Wenn die Datenquelle nicht richtig konfiguriert ist, stürzt die CloudTrail-Erfassung ab. Allgemeine Informationen zu Datenquellen finden Sie in der Online-Hilfe oder im Produkthandbuch unter Empfängerdatenquellen. Anzeigen des Ereigniszeitpunkts Sie können jetzt den genauen Zeitpunkt anzeigen, zu dem ein Ereignis in die Empfängerdatenbank eingefügt wurde. Weitere Informationen finden Sie in der Online-Hilfe oder im Produkthandbuch unter Anzeigen des Ereigniszeitpunkts. Automatische Aktualisierung der Systemstruktur Die Systemstruktur in der ESM-Konsole wird automatisch alle fünf Minuten aktualisiert. Während der Aktualisierung können Sie keine Geräte in der Struktur auswählen. Wenn die Struktur viele Geräte enthält, kann die Aktualisierung fünf Minuten oder mehr in Anspruch nehmen. Dies kann den Zugriff auf die Seite Eigenschaften für die Geräte in der Struktur beeinträchtigen. In diesem Fall können Sie die automatische Aktualisierung jetzt anhalten. Weitere Informationen finden Sie in der Online-Hilfe oder im Produkthandbuch unter Anhalten der automatischen Aktualisierung der Systemstruktur. Details zum Auftrag Ereignisse und Flüsse abrufen Sie können jetzt mehr Details zum Status des Auftrags Ereignisse und Flüsse abrufen anzeigen. Anweisungen zum Anzeigen dieser Informationen finden Sie in der Online-Hilfe oder im Produkthandbuch unter Abrufen von Ereignissen und Flüssen. 3

4 Behobene Probleme Die folgenden Probleme wurden in dieser Version des Produkts behoben. Eine Liste der Probleme, die in vorherigen Versionen behoben wurden, finden Sie in den Versionshinweisen zur jeweiligen Version. Die Ereignisverarbeitung in ESM wird gesperrt, wenn der Datenträger zu mehr als 90 % voll ist. Ereignisse werden jetzt auch dann von ESM verarbeitet, wenn der Datenträger zu mehr als 90 % voll ist. Benutzerdefinierte Korrelationsregeln werden auf dem ESM-Master-Gerät als reguläre Ereignisse angezeigt. Durch benutzerdefinierte Korrelationsregeln generierte Ereignisse werden jetzt als korrelierte Ereignisse angezeigt. Der Proxy für Altiris-Ressourcenquellen kann nicht aktiviert werden. Sie können jetzt den Proxy für Altiris-Ressourcenquellen aktivieren. 1 Klicken Sie auf das Schnellstartsymbol für Asset Manager und dann auf die Registerkarte Ressourcenquellen. 2 Wählen Sie ein Gerät aus, und klicken Sie dann auf Hinzufügen. 3 Wählen Sie im Feld Typ die Option Altiris aus, und wählen Sie dann Proxy aktivieren aus. ELM-Datumsvariablen werden nicht richtig festgelegt. Bisher stimmten Datumsangaben für Speicherpools aufgrund des Datentyps der Datumsvariablen nicht. Der Datentyp wurde geändert, und die Konstanten für Datumsangaben für Speicherpools wurden ebenfalls geringfügig geändert. Im Wesentlichen sehen Sie jetzt die folgenden Unterschiede: Ein Jahr ist jetzt gemäß dem gregorianischen Kalender definiert (ein Jahr entspricht 365,2425 Tagen). Eine Woche ist jetzt als sieben Tage definiert und nicht mehr als die Anzahl der Tage pro Jahr geteilt durch 52. Das heißt, wenn Sie einen Pool für 52 Wochen festlegen, entspricht dies nicht mehr einem Jahr. Angezeigt werden 52 Wochen. Das Gleiche gilt für Einheiten von je 13 Wochen. Diese entsprechen nicht mehr dem Mehrfachen eines Quartals. Wenn Sie Pools in Wochen definiert haben, die jeweils mehreren Quartalen oder Jahren entsprechen, müssen Sie möglicherweise die Größe des Pools anpassen, damit der Zeitraum nach wie vor in Wochen angegeben wird. Wenn Sie beispielsweise 52 Wochen für einen Pool festgelegt haben, ist dieser nach dem Upgrade auf ein Jahr festgelegt. Sie können die Größe des auf ein Jahr festgelegten Pools manuell anpassen, sodass sie 52 Wochen entspricht. Beim Upgrade wird vom System versucht, die Größe der Pools automatisch anzupassen, sodass sie der Größe der neuen Konstanten entspricht. DBM-Abstürze nach Java-Aktualisierung DBM funktioniert jetzt mit der neuen Version Java 1.8 richtig. Inkrementelle Sicherungen mit umfangreichen Pakettabellen beanspruchen mehrere Tage. Die Sicherung von Pakettabellen wurde beschleunigt. Beispielsweise dauert eine Sicherung, die bisher drei Stunden beanspruchte, jetzt 15 bis 20 Minuten. 4

5 SNMP wird auf einem sekundären Empfänger eines HA-Paars nicht ausgeführt. Sie können jetzt die SNMP-Einstellungen für den primären und den sekundären Empfänger bearbeiten, indem Sie das auf der Seite SNMP-Einstellungen hinzugefügte Optionsfeld aktivieren. Weitere Informationen finden Sie in der Online-Hilfe oder im Produkthandbuch unter Konfigurieren von SNMP-Einstellungen. Ein benutzerdefiniertes Berichtslayout kann nicht gespeichert werden. Wenn Sie auf der Seite Berichtslayout auf Speichern klicken, wird der benutzerdefinierte Bericht jetzt erwartungsgemäß gespeichert. Bei der Datenbankarchivierung werden nur die ersten 255 Ereignispartitionen angezeigt. Auf der Seite Inaktive Partitionen (Systemeigenschaften Datenbank Archivierung) werden jetzt alle Partitionen aufgeführt. Bekannte Probleme Eine Liste der bekannten Probleme in dieser Produktversion finden Sie im folgenden McAfee KnowledgeBase-Artikel: KB Upgrade-Anweisungen Laden Sie zur Vorbereitung Ihres Systems auf die Software-Version die Upgrade-Dateien für ESM, Nitro IPS, ACE, ADM, Database Event Monitor (DEM), Empfänger, ELMERC, ELM und die ESM/ Empfänger-Kombination herunter. Führen Sie dann die Upgrades in der angegebenen Reihenfolge durch. Informationen zum Installieren der Geräte finden Sie im McAfee Enterprise Security Manager Installationshandbuch. Aufgaben Herunterladen der Upgrade-Dateien auf Seite 10 Wenn das System für das Upgrade bereit ist, laden Sie die Upgrade-Dateien auf das lokale System herunter. Durchführen des Upgrades für das System auf Seite 11 Sie müssen das Upgrade für ESM und die zugehörigen Geräte abhängig vom Modus in einer bestimmten Reihenfolge durchführen. Schreiben Sie nach dem Upgrade die Geräteeinstellungen neu, und führen Sie einen Rollout der Richtlinie aus. Durchführen des Upgrades für ESM, ESMREC oder ENMELM auf Seite 13 Wenn Ihr System bereit ist, können Sie für ESM, ESMREC oder ENMELM ein Upgrade auf Version durchführen. Durchführen des Upgrades für Geräte auf Seite 14 Wenn Sie den FIPS-Modus nicht verwenden, führen Sie das Upgrade für IPS, Event Receiver, ELM, ELM/Event Receiver, ACE, ADM und DEM nach dem Upgrade von ESM durch. Wenn Sie den FIPS-Modus verwenden, führen Sie das Upgrade für die Geräte vor dem Upgrade von ESM durch. 5

6 Vorbereiten für das Upgrade Vor dem Durchführen des Upgrades müssen Sie verschiedene Schritte ausführen. Verwenden Sie die ESM-Checkliste, um sicherzustellen, dass ESM und die Geräte den richtigen Status aufweisen, bevor Sie mit dem Upgrade beginnen. Vergewissern Sie sich, dass die Wiederherstellung der ESM-Datenbank von einem vorherigen Build (9.3.2 oder höher) abgeschlossen ist und dass Sie ein geeignetes Unterbrechungszeitfenster für das Upgrade einplanen können. Führen Sie eine Datenbanksicherung von ESM aus, bevor Sie mit dem Upgrade beginnen. Stellen Sie sicher, dass das benötigte RAID-Subsystem mit zwei aktiven Laufwerken ausgeführt wird. Wenn Sie ESM 4245R, 5205R, 5510R, 5750R, ESMREC 4245R, 5205R oder 5510R, ESMLM 4245R, 5205R oder 5510R verwenden, führen Sie den Befehl cat/proc/mdstat auf eine der folgenden Arten aus: Klicken Sie in der ESM-Konsole auf Systemeigenschaften ESM-Verwaltung Terminal, klicken Sie dann auf Schreiben, und geben Sie den Befehl ein. Verwenden Sie SSH in ESM. Schließen Sie einen Monitor und eine Tastatur am Gerät an. Wenn die Ausgabe wie im folgenden Beispiel aussieht, funktioniert das RAID ordnungsgemäß, und Sie können das Upgrade fortsetzen: Personalities: [raid1] md_d127: active raid1 sda[0](w) sdb[1](w) blocks [2/2][UU] Unused devices: <none> Mit dem [UU]-Code werden aktive Laufwerke identifiziert. Wenn [_U] oder [U_] angezeigt wird, gehört das Laufwerk nicht zu RAID. Sie müssen sich vor dem Upgrade an den McAfee-Support wenden. 6

7 Art der Informationen Unterstützte Gerätetypen Entfernen von Geräten Details Für ESM, ESM/Event Receiver (ESMREC) oder ESM/Log Manager (ENMELM) kann nur mit Gerätemodellen der Version kommuniziert werden. Geben Sie zum Überprüfen des Modells Ihres Geräts den Befehl cat /proc/cpuinfo aus. In der Ausgabe ist die CPU-Nummer in der Zeile mit dem Modellnamen (model name) enthalten. Die CPU muss eine der folgenden Nummern aufweisen: Vor dem Upgrade von ESM, ESMREC oder ENMELM müssen alle angegebenen Gerätemodelle und virtuellen IP-Adressen für die angegebenen Nitro IPS-Modelle entfernt werden. Andernfalls wird auf der Seite Anmeldung und im Nachrichtenprotokoll eine Nachricht angezeigt, die besagt, dass dieses Problem aufgetreten ist und das Upgrade fehlschlägt. Auch für ESM wird das Upgrade nicht durchgeführt, und Vermerke werden in das Nachrichtenprotokoll des Geräts aufgenommen. Sie können ein virtuelles IPS-Gerät entfernen, indem Sie das Gerät in der Systemnavigationsstruktur auswählen und auf das Symbol Eigenschaften klicken. Wählen SieGerätekonfiguration Virtuelle Geräteaus, wählen Sie dann die vorhandenen virtuellen Geräte aus, und klicken Sie auf Entfernen. Klicken Sie auf Schreiben, um die Einstellungen auf das IPS-Gerät zu schreiben. Sie müssen einen Richtlinien-Rollout der Version von ESM, ESMREC oder ENMELM auf das IPS-Gerät ausführen. Andernfalls bleibt es im Umgehungsmodus, und kein Datenverkehr wird überprüft. Wiederherstellungsdauer Die Dauer der Tabellenwiederherstellung variiert für ESM, ESMREC und ENMELM. So beschleunigen Sie das Upgrade der ESM-Datenbank: Legen Sie die Erfassungsdauer von Ereignissen, Flüssen und Protokollen auf eine längere Abrufzeit fest, sodass mehr Zeit für die Wiederherstellung verfügbar ist. Klicken Sie auf der ESM-Konsole auf Systemeigenschaften Ereignisse, Flüsse und Protokolle, und legen Sie dann Intervall für automatische Überprüfung fest. Deaktivieren Sie die Erfassung von Ereignissen, Flüssen und Protokollen bis zum Abschluss der Wiederherstellung. Sie müssen diesen Schritt nur ausführen, wenn die Anzahl der an ESM gesendeten Ereignisse und Flüsse gering ist. Klicken Sie auf der ESM-Konsole auf Systemeigenschaften Ereignisse, Flüsse und Protokolle, und deaktivieren Sie dann Intervall für automatische Überprüfung. Die Dauer der Wiederherstellung beträgt für Geräte etwa 45 Minuten. 7

8 Art der Informationen Upgrade-Pfade Durchführen des Upgrades für Empfänger-HA-Geräte Details Sie können ein Upgrade auf direkt von oder höher durchführen. Sie müssen das Upgrade von Versionen vor wie folgt ausführen: 7.X.X > 8.2.X > 8.3.X > > > > > oder höher > Zum Durchführen des Upgrades für Empfänger-HA-Geräte müssen Sie zuerst den Hochverfügbarkeitsstatus des Empfängers überprüfen. Weitere Informationen finden Sie unter Überprüfen des Hochverfügbarkeitsstatus eines Empfängers in der ESM-Online-Hilfe. Besondere Upgrade-Situationen In bestimmten Situationen müssen Sie vor oder nach dem Upgrade zusätzliche Schritte ausführen. Situation Installieren eines neuen McAfee ESM-Modells Abrufen von Offline-Regelaktualisierungen Aktion Wenn Sie ein neues McAfee ESM-Modell installieren, registrieren Sie Ihre Hardware innerhalb von 30 Tagen, um sicherzustellen, dass Sie Richtlinien-, Parser- und Regelaktualisierungen im Rahmen Ihres Wartungsvertrags erhalten. Wenn Sie keine Registrierung durchführen, erhalten Sie keine Aktualisierungen. Fordern Sie Ihren dauerhaften Benutzernamen und das Kennwort per von an. Geben Sie dabei die folgenden Informationen an: McAfee-Grant-Nummer, Kontoname, Adresse, Kontaktname und -Adresse. 1 Wechseln Sie zu downloads.aspx. 2 Klicken Sie der rechten oberen Ecke auf Meine Produkte herunterladen und dann auf Los. 3 Geben Sie Ihre Grant-Nummer und die angezeigten Buchstaben ein, und klicken Sie dann auf Senden. 4 Klicken Sie auf McAfee Enterprise Security Manager und dann auf McAfee Nitro-Regeln herunterladen. 5 Lesen Sie den Lizenzvertrag, und klicken Sie dann auf Ich stimme zu. Die verfügbaren Aktualisierungsdateien werden nach ESM-Version geordnet angezeigt. 6 Laden Sie die Regeln für Ihre ESM-Version herunter. Beheben von Problemen mit der Gerätekommunikation Wenn Sie ein Upgrade eines McAfee-Geräts (nicht ESM) durchgeführt haben, wird möglicherweise die Meldung Der Vorgang kann erst durchgeführt werden, nachdem ein Upgrade auf Version für das Gerät durchgeführt wurde angezeigt. Überprüfen Sie, ob ESM über die korrekte Version verfügt. 1 Wählen Sie in der ESM-Konsole in der Systemnavigationsstruktur das Gerät aus, und wählen Sie dann das Symbol Eigenschaften aus. 2 Klicken Sie auf Verbindung und dann auf Status. Die Version wird aktualisiert. 3 Wiederholen Sie den Vorgang, der zur Fehlermeldung geführt hat. 8

9 Situation Durchführen eines Upgrades für ein redundantes ESM-Gerät Aktion Sie müssen zuerst ein Upgrade für das primäre ESM- und dann ein Upgrade für das redundante ESM-Gerät durchführen und sich dabei exakt an die Beschreibung halten. 1 Wählen Sie auf dem primären ESM-Gerät in der Navigationsstruktur das ESM-Gerät aus, und klicken Sie auf das Symbol Eigenschaften. 2 Klicken Sie auf Ereignisse, Flüsse und Protokolle, und deaktivieren Sie die Option Intervall für automatische Überprüfung. 3 Aktivieren Sie nach dem Upgrade des redundanten ESM-Geräts erneut die Erfassung von Ereignissen, Flüssen und Protokollen auf dem primären ESM-Gerät. McAfee epo mit Policy Auditor Wenn das McAfee epo-gerät bereits mit dem ESM-Gerät übereinstimmt, müssen Sie es aktualisieren. 1 Wenn Sie kein Komplettgerät verwenden, führen Sie ein Upgrade für den Empfänger durch, mit dem das McAfee epo-gerät verbunden ist. 2 Klicken Sie in der ESM-Konsole aufepo-eigenschaften Geräteverwaltung, und klicken Sie dann auf Aktualisieren. Sie können das automatische Abrufen auf der Registerkarte Geräteverwaltung einrichten. 3 Klicken Sie auf Empfängereigenschaften und dann auf die Registerkarte Schwachstellenbewertung. 4 Klicken Sie auf Schreiben. 5 Wiederholen Sie Schritt 2, um Daten der Schwachstellenbewertung auf dem ESM abzurufen. Durch das Aktualisieren wird Policy Auditor als Quelle der Schwachstellenbewertung registriert, wodurch wiederum ermöglicht wird, Policy Auditor an vathirdparty.conf zu schreiben. 6 Melden Sie sich von der ESM-Konsole ab, und melden Sie sich dann wieder an. Durchführen eines Upgrades für Empfänger mit Hochverfügbarkeit (HA) Legen Sie vor dem Upgrade Ihren bevorzugen primären Empfänger auf Keine Präferenz fest, damit Sie die Failover-Option verwenden können. Beim Upgrade-Prozess wird das Upgrade für beide Empfänger nacheinander durchgeführt, beginnend mit dem sekundären Empfänger. Nach dem Upgrade beider Empfänger können Sie Ihren bevorzugten primären Empfänger erneut anwenden. 9

10 Situation Wiederherstellen der ELM-Verwaltungsdatenbank Durchführen eines Upgrades für ein redundantes ELM-Gerät Aktion Für die Indizierung Ihrer ELM-Verwaltungsdatenbank ist je nach ELM-Modell möglicherweise zusätzliche Zeit erforderlich. Beispielsweise können die Anzahl der Pools, die Menge der von Protokollierungsgeräten gesendeten Daten und Ihre Netzwerkbandbreite bei Verwendung von Remote-Speicher die für das Abschließen der Indizierung erforderliche Zeit verlängern. Dieser Hintergrund-Task wirkt sich jedoch nur minimal auf die Leistung aus und bietet nach Abschluss ein verbessertes Abfragen Ihrer Verlaufsdaten. Wechseln Sie zum Überprüfen des Wiederherstellungsstatus zu ELM-Eigenschaften ELM-Informationen. Wenn im Feld Status 'Aktiv' die Meldung Datenbank wird wiederhergestellt angezeigt wird, sollten Sie die ELM-Datenbank NICHT anhalten oder starten. Alle neuen ELM-Daten auf dem sendenden Geräte werden vom System indiziert, bevor diese Daten an ELM gesendet werden. Wenn eine Protokollierung durch Empfänger an ELM durchgeführt und die maximale Kapazität fast erreicht ist, wenden Sie sich an den Support. Sie müssen zuerst ein Upgrade für das ELM-Standby-Gerät und dann das Upgrade für das aktive ELM-Gerät durchführen. Durch den Upgrade-Prozess wird die ELM-Redundanz angehalten. Nach dem Upgrade beider ELM-Geräte müssen Sie die ELM-Redundanz neu starten. 1 Führen Sie ein Upgrade für das ELM-Standby-Gerät durch. 2 Führen Sie dann das Upgrade für das aktive ELM-Gerät durch. 3 Wählen Sie in der Systemnavigationsstruktur das ELM-Standby-Gerät aus, und wechseln Sie zu ELM-Eigenschaften ELM-Redundanz. Klicken Sie auf Wieder in Betrieb nehmen. 4 Wechseln Sie zu ELM-Eigenschaften ELM-Informationen, und klicken Sie auf Aktualisieren. Sowohl für das aktive ELM-Gerät als auch das ELM-Standby-Gerät sollte der Status OK angezeigt werden. Wenn für das ELM-Standby-Gerät der Status Nicht OK angezeigt wird, klicken Sie erneut auf Aktualisieren. Nach einigen Minuten sollte der Status des ELM-Standby-Geräts in OK. Synchronisierung des redundanten ELM-Geräts ist vollständig abgeschlossen. geändert werden. Möglicherweise müssen Sie mehrmals auf Aktualisieren klicken. Herunterladen der Upgrade-Dateien Wenn das System für das Upgrade bereit ist, laden Sie die Upgrade-Dateien auf das lokale System herunter. Vorgehensweise 1 Geben Sie auf der McAfee-Website für Produkt-Downloads unter downloads/downloads.aspx Ihre Grant-Nummer in das Feld Meine Produkte herunterladen ein, und klicken Sie dann auf Los. 2 Wählen Sie das Gerät aus, auf dem Sie ein Upgrade durchführen möchten. 10

11 3 Wählen Sie den richtigen Link aus (McAfee <Gerätename> Version 9.5.1) aus, lesen Sie den McAfee-Endbenutzer-Lizenzvertrag, und klicken Sie dann auf Ich stimme zu. 4 Laden Sie diese Dateien auf das lokale System herunter: Gerätetyp McAfee Enterprise Security Manager (ESM oder ETM) McAfee Enterprise Security Manager und Log Manager (ENMELM oder ESMREC) McAfee Nitro Intrusion Prevention System (Nitro IPS oder NTP) McAfee Event Receiver (ERC oder ELMERC) McAfee Database Event Monitor (DEM) McAfee Advanced Correlation Engine (ACE) McAfee Enterprise Log Manager (ELM) McAfee Application Data Monitor (ADM) Dateiname ESSREC_Update_9.5.1.tgz ESS_Update_9.5.1.tgz IPS_Update_9.5.1.tgz RECEIVER_Update_9.5.1.tgz DBM_Update_9.5.1.tgz RECEIVER_Update_9.5.1.tgz RECEIVER_Update_9.5.1.tgz APM_Update_9.5.1.tgz Diese Dateien können jetzt für das Upgrade von ESM und der Geräte verwendet werden. Durchführen des Upgrades für das System Sie müssen das Upgrade für ESM und die zugehörigen Geräte abhängig vom Modus in einer bestimmten Reihenfolge durchführen. Schreiben Sie nach dem Upgrade die Geräteeinstellungen neu, und führen Sie einen Rollout der Richtlinie aus. Bevor Sie beginnen Lesen Sie Vorbereiten für das Upgrade und Besondere Upgrade-Situationen. Vergewissern Sie sich, dass die Version oder höher auf dem System ausgeführt wird. Wenn Sie gerade erst das Upgrade auf Version durchgeführt haben, überprüfen Sie, ob die Wiederherstellung der Datenbank abgeschlossen ist. Vorgehensweise 1 Führen Sie das Upgrade für die Geräte in dieser Reihenfolge durch. Details zum Upgrade für ESM und die Geräte finden Sie unter Durchführen des Upgrades für ESM, ESMREC oder ENMELM und Durchführen des Upgrades für Geräte. 11

12 Modus Reihenfolge Kein FIPS 1 Führen Sie das Upgrade für ESM, ESMREC oder ENMELM durch. 2 Warten Sie, bis die Datenbank erstellt wurde. 3 Führen Sie das Upgrade für ELM oder ELMERC durch. 4 Führen Sie das Upgrade für Nitro IPS, Event Receiver, ACE, DEM und ADM durch. If you are upgrading a redundant ESM, see Upgrading a redundant ESM in Special upgrade situations. FIPS 1 Führen Sie das Upgrade für ELM oder ELMERC durch. 2 Führen Sie das Upgrade für Nitro IPS, Event Receiver, ACE, DEM und ADM durch. 3 Führen Sie das Upgrade für ESM, ESMREC oder ENMELM durch. Sie können beginnen, wenn alle Geräte-Upgrades gestartet wurden. Wenn im FIPS-Modus das Upgrade der Geräte nicht vor dem Upgrade von ESM durchgeführt wird, können sich Auswirkungen auf die ELM-Protokollerfassung ergeben. 2 Stellen Sie sicher, dass eine Kommunikation mit den Geräten möglich ist. 3 Laden Sie die manuelle Regelaktualisierung auf das ESM-Gerät herunter (siehe Abrufen von Offline-Regelaktualisierungen im Abschnitt Besondere Upgrade-Situationen dieses Dokuments). 4 Wenden Sie die aktualisierten Regeln an. a Wählen Sie in der Systemnavigationsstruktur das System aus, und klicken Sie dann auf das Symbol Eigenschaften. b c Klicken Sie auf der Seite Systeminformationen auf Regelaktualisierung, und klicken Sie dann auf Manuelle Aktualisierung. Navigieren Sie zur Aktualisierungsdatei, und klicken Sie dann auf Hochladen und auf OK. 5 Folgen Sie diesen Anleitungen, um die Geräteeinstellungen für jedes Gerät neu zu schreiben, sodass sichergestellt ist, dass alle Einstellungen für Version angewendet werden. a Wählen Sie in der ESM-Konsole in der Systemnavigationsstruktur das Gerät aus, und klicken Sie dann auf das Symbol Eigenschaften. b Folgen Sie diesen Schritten für jedes Gerät. 12

13 Gerätetyp Event Receiver oder ESM/ Event Receiver-Kombination Anleitung Für Datenquellen: Klicken Sie auf Datenquellen Schreiben. Für VA-Quellen: Klicken Sie auf Schwachstellenbewertung Schreiben. ACE Für die Risikokorrelation: Klicken Sie auf Risikokorrelations-Verwaltung Schreiben. Für die historische Korrelation: Klicken Sie auf Historisch Historische Korrelation aktivieren Anwenden. Wenn diese Option bereits aktiviert ist, deaktivieren Sie sie, aktivieren Sie sie erneut, und klicken Sie dann auf Anwenden. Für die Regelkorrelation: Klicken Sie auf Regelkorrelation, wählen Sie Regelkorrelation aktivieren aus, und klicken Sie auf Anwenden. Wenn diese Option bereits aktiviert ist, deaktivieren Sie sie, aktivieren Sie sie erneut, und klicken Sie dann auf Anwenden. Nitro IPS, DEM oder ADM Für virtuelle Geräte (IPS und ADM): Klicken Sie auf Virtuelle Geräte Schreiben. Für Datenbank-Server: Klicken Sie auf Datenbank-Server Schreiben. 6 Führen Sie den Rollout der Richtlinie auf alle Geräte aus, auf denen Sie das Upgrade durchgeführt haben. Stellen Sie nach dem Rollout der Richtlinie auf ein Nitro IPS-Gerät sicher, dass Sie den Umgehungsmodus deaktivieren. Verwenden Sie dazugerätekonfiguration Schnittstellen. 7 Wenn über ELM oder ELMERC Protokolle von einem Gerät erfasst werden, synchronisieren Sie ELM (Geräteeigenschaften Gerätekonfiguration ELM synchronisieren). Durchführen des Upgrades für ESM, ESMREC oder ENMELM Wenn Ihr System bereit ist, können Sie für ESM, ESMREC oder ENMELM ein Upgrade auf Version durchführen. Bevor Sie beginnen Lesen Sie dieses Dokument vollständig durch. Vergewissern Sie sich, dass alle mit ESM verbundenen Geräte in der Version unterstützt werden (siehe Unterstützte Gerätetypen in Vorbereiten für das Upgrade). Vorgehensweise Beschreibungen der Optionen erhalten Sie, wenn Sie auf der Benutzeroberfläche auf? klicken. 1 Wählen Sie in der ESM-Konsole das ESM-Gerät aus, und klicken Sie dann auf das Symbol Eigenschaften. 2 Wählen Sie ESM-Verwaltung aus, und klicken Sie dann auf ESM aktualisieren. 13

14 3 Suchen Sie auf der Seite Software-Aktualisierungsdatei auswählen nach einer der folgenden Dateien. Gerätetyp Eigenständige Version von Enterprise Security Manager (ESM) Enterprise Security Manager mit integriertem Empfänger (ESMREC) Enterprise Security Manager mit integriertem Empfänger und Enterprise Log Manager (ENMELM), auch bezeichnet als Kombinationspaket Datei ESS_Update_9.5.1.tgz ESSREC_Update_9.5.1.tgz ESSREC_Update_9.5.1.tgz 4 Wählen Sie eine Datei aus, und klicken Sie dann auf Hochladen. Sie werden darüber informiert, dass ESM neu gestartet und die Verbindung für alle Benutzer getrennt wird. 5 Klicken Sie auf Ja, um fortzufahren. Wenn Sie aufgefordert werden, den Browser zu schließen, klicken Sie auf OK. Das Upgrade wird durchgeführt. Es kann mehrere Stunden dauern. 6 Melden Sie sich nach Abschluss des Upgrades über eine neue Browser-Sitzung wieder bei der Konsole an. Durchführen des Upgrades für Geräte Wenn Sie den FIPS-Modus nicht verwenden, führen Sie das Upgrade für IPS, Event Receiver, ELM, ELM/Event Receiver, ACE, ADM und DEM nach dem Upgrade von ESM durch. Wenn Sie den FIPS-Modus verwenden, führen Sie das Upgrade für die Geräte vor dem Upgrade von ESM durch. Bevor Sie beginnen Lesen Sie dieses Dokument vollständig durch. Vergewissern Sie sich, dass alle mit ESM verbundenen Geräte in der Version unterstützt werden (siehe Unterstützte Gerätetypen in Vorbereiten für das Upgrade). Vorgehensweise Beschreibungen der Optionen erhalten Sie, wenn Sie auf der Benutzeroberfläche auf? klicken. 1 Wählen Sie in der ESM-Konsole das Gerät aus, für das Sie das Upgrade durchführen möchten, und klicken Sie dann auf das Symbol Eigenschaften. 2 Klicken Sie für das Gerät auf Verwaltung und dann auf Gerät aktualisieren. 3 Suchen Sie auf der Seite Software-Aktualisierungsdatei auswählen nach einer der folgenden Dateien: Gerätetyp IPS Event Receiver ELM ELM/Event Receiver-Kombination ACE DEM Datei IPS_Update_9.5.1.tgz RECEIVER_Update_9.5.1.tgz DBM_Update_9.5.1.tgz 14

15 Gerätetyp ADM ESS VM Datei APM_Update_9.5.1.tgz Für dieses Gerät sind keine Upgrades mehr verfügbar. Wenden Sie sich an den McAfee-Vertrieb, um ein neues ESM VM-Modell zu erwerben. 4 Wählen Sie die Datei aus, und klicken Sie dann auf Hochladen. 5 Klicken Sie auf der Seite Gerätesoftware aktualisieren auf Ja, um fortzufahren. Die Datei wird hochgeladen, und das Gerät wird neu gestartet. 6 Überprüfen Sie die Version des Geräts, nachdem die Kommunikation neu gestartet wurde. Quellen für Produktinformationen Nach der Veröffentlichung eines Produkts werden Informationen zu dem Produkt im Online-Knowledge Center von McAfee eingegeben. Vorgehensweise 1 Rufen Sie im McAfee ServicePortal unter die Registerkarte Knowledge Center auf. 2 Klicken Sie im Bereich Knowledge Base auf eine Inhaltsquelle: Produktdokumentation für die Suche nach Benutzerdokumentation Technische Artikel für die Suche nach KnowledgeBase-Artikeln 3 Wählen Sie Meine Filter nicht löschen aus. 4 Geben Sie ein Produkt ein, und wählen Sie die Version aus. Klicken Sie dann auf Suchen, um eine Liste der gewünschten Dokumente anzuzeigen. Aufgaben Verwenden der ESM-Hilfe auf Seite 16 Sie haben Fragen zur Verwendung von ESM? Nutzen Sie die Online-Hilfe als kontextabhängige Informationsquelle, in der Sie konzeptionelle Informationen, Referenzmaterial und schrittweise Anweisungen zur Verwendung von ESM finden. Häufig gestellte Fragen auf Seite 17 In diesem Abschnitt finden Sie Antworten auf häufig gestellte Fragen. Lokalisierte Informationen suchen Versionsinformationen, Online-Hilfe, Produkthandbuch und Installationshandbuch für McAfee ESM werden in die folgenden Sprachen lokalisiert (übersetzt) bereitgestellt: Chinesisch (vereinfacht) Japanisch Chinesisch (traditionell) Koreanisch Englisch Portugiesisch (Brasilien) Französisch Spanisch Deutsch 15

16 Zugreifen auf die lokalisierte Online-Hilfe Wenn Sie die Spracheinstellung in ESM ändern, wird die in der Online-Hilfe verwendete Sprache automatisch geändert. 1 Melden Sie sich bei ESM an. 2 Wählen Sie im Systemnavigationsbereich der ESM-Konsole die Option Optionen aus. 3 Wählen Sie eine Sprache aus, und klicken Sie dann auf OK. 4 Klicken Sie auf das Hilfesymbol rechts oben in den ESM-Fenstern, oder wählen Sie das Menü Hilfe aus. Die Hilfe wird in der ausgewählten Sprache angezeigt. Wenn die Hilfe nur in Englisch angezeigt wird, ist noch keine lokalisierte Hilfe verfügbar. Die lokalisierte Hilfe wird mit einer zukünftigen Aktualisierung installiert. Suchen nach lokalisierten Produktdokumentationen im Knowledge Center 1 Besuchen Sie das Knowledge Center. 2 Suchen Sie mit den folgenden Parametern nach lokalisierten Produktdokumentationen: Suchbegriffe: Produkthandbuch, Installationshandbuch oder Versionsinformationen Produkt: SIEM Enterprise Security Manger Version: oder höher 3 Klicken Sie in den Suchergebnissen auf den entsprechenden Dokumenttitel. 4 Führen Sie auf der Seite mit dem PDF-Symbol einen Bildlauf nach unten durch, bis Sie rechts die Links für die Sprachen sehen. Klicken Sie auf die gewünschte Sprache. 5 Klicken Sie auf den PDF-Link, um die lokalisierte Version des Produktdokuments zu öffnen. Verwenden der ESM-Hilfe Sie haben Fragen zur Verwendung von ESM? Nutzen Sie die Online-Hilfe als kontextabhängige Informationsquelle, in der Sie konzeptionelle Informationen, Referenzmaterial und schrittweise Anweisungen zur Verwendung von ESM finden. Bevor Sie beginnen Optional: Lokalisierte Informationen suchen auf Seite 15. Vorgehensweise 1 Führen Sie eine der folgenden Aktionen aus, um die ESM-Hilfe zu öffnen: Wählen Sie die Menüoption Hilfe Inhalt der Hilfe aus. Klicken Sie auf das Fragezeichen rechts oben auf den Bildschirmen von ESM, um kontextabhängige Hilfe zum jeweiligen Bildschirm anzuzeigen. 2 Im Hilfefenster: Verwenden Sie das Feld Suchen, um beliebige Wörter in der Hilfe zu suchen. Die Ergebnisse werden unter dem Suchfeld angezeigt. Klicken Sie auf den entsprechenden Link, um das Hilfethema im Bereich auf der rechten Seite anzuzeigen. Verwenden Sie die Registerkarte Inhalt (Inhaltsverzeichnis), um eine sequenzielle Liste der Themen in der Hilfe anzuzeigen. 16

17 Verwenden Sie den Index, um einen bestimmten Begriff in der Hilfe zu suchen. Die Stichwörter sind alphabetisch sortiert, sodass Sie einen Bildlauf durch die Liste durchführen können, bis Sie das gewünschte Stichwort gefunden haben. Klicken Sie auf das Stichwort, um das Hilfethema anzuzeigen. Drucken Sie das aktuelle Hilfethema (ohne Bildlaufleisten), indem Sie auf das Druckersymbol rechts oben im Hilfethema klicken. Suchen Sie Links zu verwandten Hilfethemen, indem Sie einen Bildlauf zum Ende des Hilfethemas durchführen. Häufig gestellte Fragen In diesem Abschnitt finden Sie Antworten auf häufig gestellte Fragen. Wo finde ich Informationen zu ESM in anderen Sprachen? Versionsinformationen, Online-Hilfe, Produkthandbuch und Installationshandbuch für ESM werden in die folgenden Sprachen lokalisiert: Chinesisch (vereinfacht und traditionell) Japanisch Englisch Koreanisch Französisch Portugiesisch (Brasilien) Deutsch Spanisch Lokalisierte Informationen suchen auf Seite 15 Wo finde ich Informationen zu McAfee ESM? Verwenden der ESM-Hilfe auf Seite 16 Knowledge Center besuchen Expert Center besuchen Videos zu McAfee ESM anzeigen Welche SIEM-Geräte werden unterstützt? McAfee ESM-Website besuchen Wie konfiguriere ich bestimmte Datenquellen? Aktuelle Handbücher für die Konfiguration von Datenquellen im Knowledge Center suchen Welche Inhaltspakete stehen zur Verfügung? KB-Artikel im Knowledge Center lesen Copyright 2015 McAfee, Inc. Intel und das Intel-Logo sind Marken oder eingetragene Marken der Intel Corporation. McAfee und das McAfee-Logo sind Marken oder eingetragene Marken von McAfee, Inc. Alle anderen Namen und Marken sind Eigentum der jeweiligen Besitzer.