Installations- und Konfigurationshandbuch. NetIQ Sentinel 7.0.1

Transkript

1 Installations- und Konfigurationshandbuch NetIQ Sentinel March 2012

2 Rechtliche Hinweise NetIQ Corporation ( NetIQ ) übernimmt keine Gewährleistung oder Haftung in Bezug auf den Inhalt und die Verwendung der Online-Hilfe oder anderer Dokumentationen und schließt insbesondere jede ausdrückliche oder stillschweigende Gewährleistung bezüglich der Marktgängigkeit sowie der Eignung für einen bestimmten Zweck aus. NetIQ behält sich das Recht vor, diese Dokumentation zu revidieren und ihren Inhalt jederzeit zu ändern, ohne dass für NetIQ die Verpflichtung entsteht, Personen oder Organisationen von diesen Änderungen in Kenntnis zu setzen. NetIQ übernimmt keine Gewährleistung oder Haftung in Bezug auf jede Software und schließt jede ausdrückliche oder stillschweigende Gewährleistung bezüglich der Marktgängigkeit sowie der Eignung für einen bestimmten Zweck aus. NetIQ behält sich das Recht vor, NetIQ-Software jederzeit ganz oder teilweise zu ändern, ohne dass für NetIQ die Verpflichtung entsteht, Personen oder Organisationen von diesen Änderungen in Kenntnis zu setzen. Alle im Zusammenhang mit dieser Vereinbarung zur Verfügung gestellten Produkte oder technischen Informationen unterliegen möglicherweise den US-Gesetzen zur Exportkontrolle sowie den Handelsgesetzen anderer Länder. Sie stimmen zu, alle Gesetze zur Exportkontrolle einzuhalten und alle für den Export, Reexport oder Import von Lieferungen erforderlichen Lizenzen oder Klassifikationen zu erwerben. Sie erklären sich damit einverstanden, nicht an juristische Personen, die in der aktuellen US-Exportausschlussliste enthalten sind, oder an in den US-Exportgesetzen aufgeführte terroristische Länder oder Länder, die einem Embargo unterliegen, zu exportieren oder zu reexportieren. Sie stimmen zu, keine Lieferungen für verbotene nukleare oder chemisch-biologische Waffen oder Waffen im Zusammenhang mit Flugkörpern zu verwenden. NetIQ übernimmt keine Haftung für Ihr Versäumnis, die notwendigen Ausfuhrgenehmigungen einzuholen. Copyright 2012, Novell, Inc. Alle Rechte vorbehalten. Diese Veröffentlichung darf ohne schriftliche Genehmigung des Herausgebers weder vollständig noch teilweise reproduziert, vervielfältigt, in einem Abrufsystem gespeichert oder übertragen werden. Marken von Drittanbietern sind Eigentum des jeweiligen Inhabers. Weitere Informationen erhalten Sie von NetIQ unter folgender Anschrift: 1233 West Loop South, Houston, Texas USA

3 Inhalt Allgemeines zu diesem Handbuch 7 Teil I Installieren 9 1 Erfüllen der Systemanforderungen Systemanforderungen und unterstützte Plattformen Unterstützte Betriebssysteme und Plattformen Hardwareanforderungen Unterstützte Datenbankplattformen Unterstützte Browser Schätzung der Datenspeicheranforderung Schätzung der Datenträger-E/A-Nutzung Schätzung der Netzwerkbandbreitennutzung Virtuelle Umgebung Connector- und Collector-Systemanforderungen Verwendete Ports Sentinel-Server Collector-Manager Correlation Engine Installieren von Sentinel Installationsmethoden Standardinstallation und benutzerdefinierte Installation Installierte Komponenten Vor dem Beginn Installationsoptionen Interaktive Installation Standardkonfiguration Benutzerdefinierte Konfiguration Automatische Installation Installieren von Sentinel mit einem Nicht-root-Benutzer Ändern der Konfiguration nach der Installation Installieren zusätzlicher Collector-Manager-Instanzen Vorteile zusätzlicher Collector-Manager-Instanzen Vor dem Beginn Installieren eines zusätzlichen Collector-Managers Hinzufügen eines benutzerdefinierten Benutzers für einen Collector-Manager Installieren zusätzlicher Correlation Engines Vor dem Beginn Installieren einer zusätzlichen Correlation Engine Hinzufügen eines benutzerdefinierten Benutzers für die Correlation Engine Inhalt 3

4 5 Installieren der Appliance Vor dem Beginn Installieren der VMware-Appliance Installieren von Sentinel Installieren des Collector-Managers Installieren der Correlation Engine Installieren der Xen-Appliance Installieren von Sentinel Installieren des Collector-Managers Installieren der Correlation Engine Installieren der Appliance auf der Hardware Installieren von Sentinel Installieren des Collector-Managers Installieren der Correlation Engine Konfiguration der Appliance im Anschluss an die Installation Installieren der VMware-Tools Anmelden an der Appliance-Weboberfläche Konfigurieren von WebYaST Konfigurieren der Appliance mit SMT Voraussetzungen Konfigurieren der Appliance Stoppen und Starten des Servers über die Weboberfläche Registrieren für Aktualisierungen Fehlersuche zur Installation Installationsfehler aufgrund einer falschen Netzwerkkonfiguration Die UUID wird für Images von Collector-Managers oder Correlation Engines nicht erstellt Weitere Schritte 59 Teil II Konfigurieren 61 8 Zugriff auf die Sentinel-Weboberfläche 63 9 Hinzufügen zusätzlicher Sentinel-Komponenten Installieren von Collectors und Connectors Installieren eines Collectors Installieren eines Connectors Hinzufügen zusätzlicher Collectors und Connectors Hinzufügen zusätzlicher Collectors Hinzufügen zusätzlicher Connectors Verwalten von Daten Verzeichnisstruktur Hinweise zur Speicherung Partitionen in einer eigenständigen Installation Partitionen in einer Appliance-Installation Inhalt

5 11 Konfigurieren einsatzbereiter Inhalte Konfigurieren der Zeit Zeit in Sentinel Konfigurieren der Zeit in Sentinel Zeitzonen Lizenzinformationen Über Sentinel-Lizenzen Probelizenz Unternehmenslizenzen Hinzufügen eines Lizenzschlüssels Hinzufügen eines Lizenzschlüssels über die Weboberfläche Hinzufügen eines Lizenzschlüssels über die Befehlszeile Konfigurieren von Sentinel für Hochverfügbarkeitssysteme 83 Teil III Aufrüsten von Sentinel Aufrüsten des Sentinel-Servers Aufrüsten der Sentinel-Appliance Aktualisieren des Collector-Managers Aufrüsten der Correlation Engine Aufrüsten von Sentinel-Plugins 95 Teil IV Migrieren Unterstützte Migrationsszenarien Weitere Schritte 101 Teil V Deinstallation Deinstallieren von Sentinel Deinstallieren des Sentinel-Servers Deinstallation des Remote-Collector-Managers oder der Correlation Engine Nach der Deinstallation auszuführende Aufgaben Entfernen der Sentinel-Systemeinstellungen Abschließen der Correlation Engine-Deinstallation Abschließen der Collector-Manager-Deinstallation Inhalt 5

6 6 Installations- und Konfigurationshandbuch für NetIQ Sentinel 7.0.1

7 Allgemeines zu diesem Handbuch Dieses Handbuch enthält eine Einführung in NetIQ Sentinel sowie Erklärungen zur Installation, Migration und Konfiguration von Sentinel. Zielgruppe Dieses Handbuch ist für Sentinel-Administratoren und -Consultants gedacht. Rückmeldungen Wir freuen uns über Ihre Hinweise, Anregungen und Vorschläge zu diesem Handbuch und den anderen Teilen der Dokumentation zu diesem Produkt. Über die Funktion Benutzerkommentare unten auf den einzelnen Seiten der Onlinedokumentation können Sie uns Ihre Kommentare mitteilen. Aktualisierungen der Dokumentation Die jeweils neueste Version des Installations- und Konfigurationshandbuchs für NetIQ Sentinel finden Sie auf der Sentinel-Dokumentationswebsite ( sentinel70). Weitere Dokumentation Die technische Dokumentation von Sentinel umfasst mehrere Bände. Dazu gehören: Sentinel Overview Guide (Sentinel-Übersichtshandbuch) ( documentation/sentinel70/s70_overview/data/bookinfo.html) Sentinel Quick Start Guide (Kurzanleitung für Sentinel) ( documentation/sentinel70/s70_quickstart/data/s70_quickstart.html) Sentinel Administration Guide (Sentinel-Administrationshandbuch) ( documentation/sentinel70/s70_admin/data/bookinfo.html) Sentinel User Guide (Sentinel-Benutzerhandbuch) ( sentinel70/s70_user/data/bookinfo.html) Sentinel Link Overview Guide (Sentinel Link-Übersichtshandbuch) ( documentation/sentinel70/sentinel_link_overview/data/bookinfo.html) Sentinel Internal Audit Events (Sentinel-interne Auditereignisse) ( documentation/sentinel70/s70_auditevents/data/bookinfo.html) Sentinel SDK ( Auf der Sentinel SDK-Website finden Sie Informationen zum Erstellen eigener Plugins. Allgemeines zu diesem Handbuch 7

8 Anfragen an Novell und NetIQ Sentinel ist nun ein Produkt von NetIQ. Novell leistet jedoch noch viele der Supportfunktionen. Novell-Website ( NetIQ-Website ( Technischer Support ( getsupport.html?sourceidint=suplnav4_phonesup) Self-Support ( support_options.html?sourceidint=suplnav_supportprog) Patch Download Site ( Sentinel Community Support Forum ( sentinel/) Sentinel TIDS ( Sentinel-Plugin-Website ( -Liste für Benachrichtigungen: Registrieren Sie sich auf der Sentinel-Plugin-Website. Anfragen an die Verkaufsunterstützung Bei Fragen zu Produkten, Preisen und Funktionen wenden Sie sich an Ihren Händler vor Ort. Wenn dies nicht möglich ist, wenden Sie sich an unser Verkaufsunterstützungsteam. Weltweit: NetIQ-Standorte ( Vereinigte Staaten und Kanada: Website: 8 Installations- und Konfigurationshandbuch für NetIQ Sentinel 7.0.1

9 I Installieren Beachten Sie folgende Informationen bei der Installation von Sentinel: Kapitel 1, Erfüllen der Systemanforderungen, auf Seite 11 Kapitel 2, Installieren von Sentinel, auf Seite 23 Kapitel 3, Installieren zusätzlicher Collector-Manager-Instanzen, auf Seite 33 Kapitel 4, Installieren zusätzlicher Correlation Engines, auf Seite 37 Kapitel 5, Installieren der Appliance, auf Seite 41 Kapitel 6, Fehlersuche zur Installation, auf Seite 57 Kapitel 7, Weitere Schritte, auf Seite 59 Installieren 9

10 10 Installations- und Konfigurationshandbuch für NetIQ Sentinel 7.0.1

11 1 1Erfüllen der Systemanforderungen Der folgende Abschnitt beschreibt die Anforderungen in Bezug auf Hardware, Betriebssystem, Browser, unterstützte Connectors und Ereignisquellenkompatibilität für Sentinel. Abschnitt 1.1, Systemanforderungen und unterstützte Plattformen, auf Seite 11 Abschnitt 1.2, Connector- und Collector-Systemanforderungen, auf Seite 19 Abschnitt 1.3, Verwendete Ports, auf Seite Systemanforderungen und unterstützte Plattformen NetIQ unterstützt Sentinel auf den in diesem Abschnitt beschriebenen Betriebssystemen. NetIQ unterstützt Sentinel außerdem auf Systemen mit geringfügigen Aktualisierungen dieser Betriebssysteme, beispielsweise Sicherheits-Patches oder Hotfixes. Das Ausführen von Sentinel auf Systemen mit wesentlichen Aktualisierungen dieser Betriebssysteme wird jedoch erst unterstützt, wenn NetIQ diese Aktualisierungen geprüft und zertifiziert hat. Abschnitt 1.1.1, Unterstützte Betriebssysteme und Plattformen, auf Seite 11 Abschnitt 1.1.2, Hardwareanforderungen, auf Seite 12 Abschnitt 1.1.3, Unterstützte Datenbankplattformen, auf Seite 14 Abschnitt 1.1.4, Unterstützte Browser, auf Seite 14 Abschnitt 1.1.5, Schätzung der Datenspeicheranforderung, auf Seite 16 Abschnitt 1.1.6, Schätzung der Datenträger-E/A-Nutzung, auf Seite 17 Abschnitt 1.1.7, Schätzung der Netzwerkbandbreitennutzung, auf Seite 18 Abschnitt 1.1.8, Virtuelle Umgebung, auf Seite Unterstützte Betriebssysteme und Plattformen Der Sentinel-Server, der Collector-Manager und die Correlation Engine werden auf folgenden Betriebssystemen und Plattformen unterstützt: Erfüllen der Systemanforderungen 11

12 Kategorie Betriebssystem Anforderung Sentinel wird auf folgenden Betriebssystemen unterstützt: SUSE Linux Enterprise Server (SLES) 11 SP1, 64-Bit * Red Hat Enterprise Linux für Server (RHEL) 6, 64-Bit * Auf Open Enterprise Server-Installationen von SLES wird Sentinel 7 nicht unterstützt. Virtuelle Plattform Für folgende virtuelle Plattformen stellt NetIQ Appliances zur Verfügung, die einen 64- Bit-SLES 11 SP1-Server und Sentinel installieren: VMWare ESX 4.0 Xen 4.0 ISO-DVD Für folgende Systeme stellt NetIQ zur Installation des 64-Bit-SLES 11 SP1-Servers und von Sentinel eine DVD-ISO-Datei zur Verfügung: Hyper-V Server 2008 R2 Hardware ohne installiertes Betriebssystem Hardwareanforderungen Die Hardwareempfehlungen für eine Sentinel-Implementierung können je nach Implementierungstyp unterschiedlich ausfallen. Ziehen Sie daher vor der Fertigstellung der Sentinel- Architektur die NetIQ Consulting Services oder einen der NetIQ Sentinel-Partner zu Rate. Sentinel-Server, auf Seite 12 Collector-Manager, auf Seite 13 Correlation Engine, auf Seite 14 Sentinel-Server Dieser Abschnitt enthält Informationen zu den Hardwareempfehlungen für ein Produktionssystem, das 90 Tage Online-Daten speichert. Die Empfehlungen basieren auf einer angenommenen durchschnittlichen Ereignisgröße von 600 Byte. Die Empfehlungen für den lokalen Speicher und den Netzwerkspeicher enthalten zusätzlich zum geschätzten tatsächlichen Speicherbedarf 20 % Puffer. NetIQ empfiehlt, einen Puffer zu integrieren, da die Schätzungen ungenau sein können und bestimmte Server mit der Zeit möglicherweise stärker ausgelastet sind. Beachten Sie folgende Hardwareempfehlungen, um den Sentinel-Server mit allen Sentinel- Komponenten auf einem einzelnen Server auszuführen: 12 Installations- und Konfigurationshandbuch für NetIQ Sentinel 7.0.1

13 Kategorie 100 EPS 2500 EPS 5000 EPS Prozessor Ein Intel Xeon X5570 2,93 GHz (4 CPU-Kerne) 2 Intel Xeon X5470 3,33 GHz (4 Core)-CPUs (insgesamt 8 Cores) 2 Intel Xeon X5470 3,33 GHz (4 Core)-CPUs (insgesamt 8 Cores) Lokaler Speicher (30 Tage) 2 x 256 GB, 7200-RPM- Laufwerke (Hardware- RAID 1 mit 256 MB Cache) 8 x 1,2 TB, 7200-RPM- Laufwerke (Hardware-RAID 10 mit 256 MB Cache) 16 x 1,2 TB, RPM- Laufwerke (Hardware-RAID 10 mit 512 MB Cache) oder ein gleichwertiges Storage Area Network (SAN) Netzwerkspe icher (90 Tage) 2 x 128 GB 4 x 1 TB 8 x 1 TB Arbeitsspeic her Sonstige Installationen: 4 GB DVD-ISO-Installation: 4,5 GB 16 GB 24 GB NOTE: Sentinel wird auf X86-64-Bit-Intel Xeon- und AMD Opteron-Prozessoren unterstützt, nicht jedoch auf reinen 64-Bit-Prozessoren wie Itanium. Beachten Sie für eine optimale Systemleistung folgende Richtlinien: Im lokalen Speicher muss mindestens ausreichend Speicherplatz für Daten der 5 letzten Tage vorhanden sein. Dies umfasst sowohl Ereignisdaten als auch Rohdaten. Weitere Details zur Berechnung der Datenspeicheranforderungen finden Sie unter Abschnitt 1.1.5, Schätzung der Datenspeicheranforderung, auf Seite 16. Der Netzwerkspeicher enthält die Daten der gesamten 90 Tage, einschließlich einer komprimierten Kopie der Ereignisdaten aus dem lokalen Speicher. Eine Kopie der Ereignisdaten wird im lokalen Speicher beibehalten, um bei Suchvorgängen und bei der Berichterstellung eine optimale Leistung zu gewährleisten. Wenn die Kosten für den Speicherplatz stärker berücksichtigt werden müssen, kann die Größe des lokalen Speichers reduziert werden. Dies führt jedoch aufgrund des Dekomprimierungs-Overheads zu schätzungsweise 70 % geringerer Leistung bei Suchvorgängen und bei der Berichterstellung mit Daten, die sonst im lokalen Speicher enthalten wären. Der Netzwerkspeicherort muss als externes SAN mit mehreren Laufwerken oder als NAS (Network Attached Storage) eingerichtet werden. Das empfohlene stationäre Speichervolumen beträgt 80 Prozent der maximal lizenzierten EPS. NetIQ empfiehlt, zusätzliche Sentinel-Instanzen zu erwerben, wenn diese Grenze erreicht wird. Collector-Manager Beachten Sie folgende Hardwareanforderungen, wenn der Collector-Manager auf einem anderen System als der Sentinel-Server in einer Produktionsumgebung ausgeführt werden soll: Erfüllen der Systemanforderungen 13

14 Kategorie Mindestanforderung Empfehlung Prozessor Intel Xeon L GHz (2 Core) Ein Intel Xeon X5570 2,93 GHz (4 CPU- Kerne) Festplattenspeicher 10 GB (RAID 1) 20 GB (RAID 1) Arbeitsspeicher 1,5 GB 4 GB Geschätzte Rate (EPS) Correlation Engine Beachten Sie folgende Hardwareanforderungen, um die Correlation Engine auf einem separaten System vom Sentinel-Server in einer Produktionsumgebung auszuführen: Kategorie Mindestanforderung Empfehlung Prozessor Intel Xeon L GHz (2 Core) Ein Intel Xeon X5570 2,93 GHz (4 CPU- Kerne) Festplattenspeicher 10 GB (kein RAID erforderlich) 10 GB (kein RAID erforderlich) Arbeitsspeicher 1,5 GB 4 GB Geschätzte Rate (EPS) Unterstützte Datenbankplattformen Sentinel enthält ein eingebettetes, dateibasiertes Speichersystem und eine Datenbank, die zum Ausführen von Sentinel erforderlich sind. Wenn Sie jedoch die optionale Datensynchronisierungsfunktion nutzen, um Daten in ein Data Warehouse zu kopieren, unterstützt Sentinel Oracle Version 11g R2 oder Microsoft SQL Server 2008 R2 als Data Warehouse Unterstützte Browser Die Sentinel-Weboberfläche ist für eine Auflösung von 1280 x 1024 oder höher in den folgenden unterstützten Browsern optimiert: NOTE: Zum ordnungsgemäßen Laden der Sentinel-Client-Anwendungen muss das Sun Java-Plugin auf dem System installiert sein. 14 Installations- und Konfigurationshandbuch für NetIQ Sentinel 7.0.1

15 Plattform Browser Windows 7 Firefox 5, 6, 7, 8, 9 und 10 Internet Explorer 8 und 9* Informationen zu Internet Explorer 8 finden Sie unter Voraussetzungen für Internet Explorer, auf Seite 15. SLES 11 SP1 und RHEL 6 Firefox 5, 6, 7, 8, 9 und 10 Weitere Informationen finden Sie unter Manuelles Aktualisieren der Firefox-Version, auf Seite 15. Voraussetzungen für Internet Explorer Wenn die Sicherheitsstufe in Internet Explorer auf Hoch eingestellt ist, wird nach dem Anmelden bei Sentinel eine leere Seite angezeigt. Das Popupfenster für das Herunterladen von Dateien wird möglicherweise vom Browser gesperrt. Um dieses Problem zu umgehen, legen Sie zunächst die Sicherheitsstufe auf Mittelhoch fest und ändern Sie sie dann folgendermaßen in Benutzerdefiniert um: 1 Wechseln Sie zu Extras > Internetoptionen > Sicherheit und legen Sie die Sicherheitsstufe auf Mittelhoch fest. 2 Stellen Sie sicher, dass die Option Extras > Einstellungen der Kompatibilitätsansicht nicht ausgewählt ist. 3 Navigieren Sie zu Extras > Internetoptionen > Sicherheit (Registerkarte) > Stufe anpassen, führen Sie einen Bildlauf nach unten bis zum Bereich Download durch und wählen Sie unter Automatische Eingabeaufforderung für Dateidownloads die Option Aktivieren aus. Manuelles Aktualisieren der Firefox-Version Sentinel unterstützt die Firefox-Versionen 5 bis 10. Das SLES 11 SP1-System ist jedoch mit Firefox Version 3.6x gebündelt. Führen Sie folgende Schritte aus, um mittels manueller Aktualisierung der SLES 11 SP1-Installation eine unterstützte Version von Firefox hinzuzufügen: 1 Öffnen Sie YaST. 2 Wählen Sie Software > Software-Repositorys, um das Fenster für die konfigurierten Software- Repositorys anzuzeigen. 3 Klicken Sie auf Hinzufügen, um das Medientyp-Fenster zu öffnen. 4 Wählen Sie die Option URL angeben aus und klicken Sie dann auf Weiter. Das Fenster für die Repository-URL wird angezeigt. 5 Geben Sie den Link für das Software-Repository ( mozilla/sle_11/) in das Textfeld für die URL ein und klicken Sie auf Weiter. Das Software-Repository wird heruntergeladen. 6 Klicken Sie auf OK, um das Software-Repository zu aktualisieren. 7 Klicken Sie auf Softwareverwaltung, um das YaST2-Fenster zu öffnen. 8 Geben Sie Firefox in das Textfeld Suchen ein. Die Liste der Firefox-Pakete wird angezeigt. Erfüllen der Systemanforderungen 15

16 9 Wählen Sie die erforderlichen Pakete für die unterstützte Version von Firefox aus, die Sie installieren möchten. Wenn Sie ein Paket auswählen, das mit der bestehenden Version nicht vereinbar ist, wird ein Dialogfenster mit einem Warnhinweis angezeigt. Wählen Sie die geeignete Option aus und klicken Sie auf die Schaltfläche OK, erneut versuchen. 10 Klicken Sie auf Akzeptieren Schätzung der Datenspeicheranforderung Mit Sentinel werden Rohdaten über einen längeren Zeitraum aufbewahrt, um rechtliche sowie andere Vorschriften zu erfüllen. Sentinel unterstützt Sie durch die Komprimierung der Daten dabei, den lokalen und vernetzten Speicherplatz effizient zu nutzen. Speicheranforderungen können jedoch über einen langen Zeitraum gesehen zu einem wichtigen Faktor werden. Um Beschränkungen aufgrund von Kostenfaktoren zu überwinden, verwenden Sie kosteneffiziente Datenspeichersysteme zur langfristigen Speicherung von Daten. Bandbasierte Speichersysteme stellen die gängigste und kosteneffizienteste Lösung dar. Bänder ermöglichen jedoch keinen wahlfreien Zugriff auf gespeicherte Daten, der für schnelle Suchen erforderlich ist. Daher ist ein Hybridansatz zur langfristigen Datenspeicherung wünschenswert, bei dem die Daten für die Suche auf einem Speichersystem mit wahlfreiem Zugriff abgelegt werden und die Daten, die nur aufbewahrt und nicht gesucht werden müssen, auf einer kosteneffizienteren Alternative wie einem Band gespeichert werden. Anweisungen zur Bereitstellung dieses Hybridansatzes finden Sie unter Using Sequential-Access Storage for Long Term Data Storage (Verwendung der Speicherung mit sequenziellem Zugriff für die langfristige Datenaufbewahrung) im NetIQ Sentinel Administration Guide (NetIQ Sentinel Administrationshandbuch). Um den für Sentinel erforderlichen Speicherplatz mit wahlfreiem Zugriff zu bestimmen, schätzen Sie die Anzahl der Tage ab, für deren Daten Sie regelmäßig Suchen ausführen oder Berichte erstellen. Sie sollten entweder lokal auf dem Sentinel-Computer oder remote im SMB (Server Message Block)- Protokoll oder CIFS-Protokoll, im NFS (Network File System) oder in einem SAN über ausreichend Festplattenspeicher verfügen, der von Sentinel zur Datenarchivierung verwendet werden kann. Zusätzlich zu den Mindestanforderungen sollten Sie weiteren Festplattenspeicher für die folgenden Fälle bereithalten: Zum Auffangen von Datenraten, die höher ausfallen als erwartet Zum Zurückkopieren von auf Band archivierten Daten nach Sentinel für die Suche und Berichterstellung auf Basis historischer Daten Verwenden Sie die folgenden Formeln, um den zum Speichern der Daten erforderlichen Speicherplatz zu ermitteln: Lokaler Ereignis-Speicher (teilweise komprimiert): {durchschnittliche Ereignisgröße in Byte} x {Anzahl der Tage} x {Ereignisanzahl pro Sekunde} x = erforderlicher Gesamtspeicherplatz in GB Ereignisgrößen bewegen sich üblicherweise in einem Bereich von 300 bis 1000 Byte. Netzwerk-Ereignis-Speicher (vollständig komprimiert): {durchschnittliche Ereignisgröße in Byte} x {Anzahl der Tage} x {Ereignisanzahl pro Sekunde} x 0,00001 = erforderlicher Gesamtspeicherplatz in GB Rohdatenspeicher (vollständig komprimiert, sowohl im lokalen Speicher als auch im Netzwerkspeicher): {durchschnittliche Größe eines Rohdatensatzes in Byte} x {Anzahl der Tage} x {Ereignisanzahl pro Sekunde} x 0, = erforderlicher Gesamtspeicherplatz in GB 16 Installations- und Konfigurationshandbuch für NetIQ Sentinel 7.0.1

17 Die durchschnittliche Rohdatengröße für Syslog-Meldungen beträgt in der Regel 200 Byte. Gesamtgröße des lokalen Speichers (bei aktiviertem Netzwerkspeicher): {Größe des lokalen Ereignis-Speichers für die gewünschte Anzahl an Tagen} + {Größe des Rohdatenspeichers für einen Tag) = erforderlicher Gesamtspeicherplatz in GB Wenn der Netzwerkspeicher aktiviert ist, werden die Ereignisdaten üblicherweise nach 2 Tagen in den Netzwerkspeicher kopiert. Weitere Informationen finden Sie unter Configuring Data Storage (Konfigurieren der Datenspeicherung) im NetIQ Sentinel Administration Guide (NetIQ Sentinel Administrationshandbuch). Gesamtgröße des lokalen Speichers (bei deaktiviertem Netzwerkspeicher): {Größe des lokalen Ereignis-Speichers für die Beibehaltungszeit} + {Größe des Rohdatenspeichers für die Beibehaltungszeit) = erforderlicher Gesamtspeicherplatz in GB Gesamtgröße des Netzwerkspeichers: {Größe des Netzwerkspeichers für die Beibehaltungszeit} + {Größe des Rohdatenspeichers für die Beibehaltungszeit} = erforderliche Gesamtspeichergröße in GB NOTE: Die Koeffizienten in den Formeln ergeben sich aus ((Sekunden pro Tag) x (GB pro Byte) x Komprimierungsverhältnis). Diese Zahlen stellen lediglich Schätzungen dar und hängen von der Größe der Ereignisdaten sowie von der Größe der komprimierten Daten ab. Teilweise komprimiert bedeutet, dass die Daten komprimiert sind, der Index der Daten jedoch nicht komprimiert ist. Vollständig komprimiert bedeutet, dass sowohl die Ereignisdaten als auch die Indexdaten komprimiert sind. Das Komprimierungsverhältnis für Ereignisdaten ist üblicherweise 10:1. Das Komprimierungsverhältnis für Indexdaten ist üblicherweise 5:1. Der Index dient dem Optimieren der Suche in den Daten. Anhand der oben genannten Formeln können Sie auch ermitteln, wie viel Speicherplatz für ein langfristiges Datenspeichersystem wie ein Band erforderlich ist Schätzung der Datenträger-E/A-Nutzung Verwenden Sie die folgenden Formeln zur Schätzung der Datenträgernutzung auf dem Server bei unterschiedlichen EPS-Raten. Auf den Datenträger geschriebene Daten (Kilobyte pro Sekunde): (durchschnittliche Ereignisgröße in Byte + durchschnittliche Rohdatengröße in Byte) x (Ereignisanzahl pro Sekunde) x 0,002 Kompressionsverhältnis = pro Sekunde auf den Datenträger geschriebene Daten Bei beispielsweise 500 EPS, einer durchschnittlichen Ereignisgröße von 758 Byte und einer durchschnittlichen Rohdatengröße von 490 Byte in der Protokolldatei kann die Größe der auf den Datenträger geschriebenen Daten folgendermaßen ermittelt werden: (758 Byte Byte) x 500 EPS x 0,002 = 1100 KB Anzahl der E/A-Anforderungen an den Datenträger (Übertragungen pro Sekunde): (durchschnittliche Ereignisgröße in Byte + durchschnittliche Rohdatengröße in Byte) x (Ereignisanzahl pro Sekunde) x 0,00002 Kompressionsverhältnis = E/A-Anforderungen an Datenträger pro Sekunde Erfüllen der Systemanforderungen 17

18 Bei beispielsweise 500 EPS, einer durchschnittlichen Ereignisgröße von 758 Byte und einer durchschnittlichen Rohdatengröße von 490 Byte in der Protokolldatei kann die Anzahl der E/A- Anforderungen an den Datenträger pro Sekunde folgendermaßen ermittelt werden: (758 Byte Byte) x 500 EPS x 0,00002 = ca. 10 Übertragungen pro Sekunde Anzahl der pro Sekunde auf den Datenträger geschriebenen Blöcke: (durchschnittliche Ereignisgröße in Byte + durchschnittliche Rohdatengröße in Byte) x (Ereignisanzahl pro Sekunde) x 0,003 Kompressionsverhältnis = pro Sekunde auf den Datenträger geschriebene Blöcke Bei beispielsweise 500 EPS, einer durchschnittlichen Ereignisgröße von 758 Byte und einer durchschnittlichen Rohdatengröße von 490 Byte in der Protokolldatei kann die Anzahl der pro Sekunde auf den Datenträger geschriebenen Blöcke folgendermaßen ermittelt werden: (758 Byte Byte) x 500 EPS x 0,003 = ca Blöcke pro Sekunde Beim Ausführen eines Suchvorgangs pro Sekunde vom Datenträger gelesene Daten: (durchschnittliche Ereignisgröße in Byte + durchschnittliche Rohdatengröße n Byte) x (Anzahl der mit der Suchabfrage übereinstimmenden Ereignisse in Millionen) x 0,40 Kompressionsverhältnis = pro Sekunde vom Datenträger gelesene Kilobyte Bei beispielsweise einer Anzahl von 5 Millionen Ereignisse, die mit der Suchabfrage übereinstimmen, einer durchschnittlichen Ereignisgröße von 758 Byte und einer durchschnittlichen Rohdatengröße von 490 Byte in der Protokolldatei kann die Größe der pro Sekunde vom Datenträger gelesenen Daten folgendermaßen ermittelt werden: (758 Byte Byte) x 5 x 0,40 = ca. 500 KB Schätzung der Netzwerkbandbreitennutzung Verwenden Sie folgende Formeln zur Schätzung der genutzten Netzwerkbandbreite zwischen dem Sentinel-Server und dem Remote-Collector-Manager bei verschiedenen EPS-Raten: {durchschnittliche Ereignisgröße in Byte + durchschnittliche Rohdatengröße in Byte} x {Ereignisanzahl pro Sekunde} x 0,0003 Kompressionsverhältnis = Netzwerkbandbreite in KBit/s (Kilobit pro Sekunde) Bei beispielsweise 500 EPS, einer durchschnittlichen Ereignisgröße von 758 Byte und einer durchschnittlichen Rohdatengröße von 490 Byte in der Protokolldatei kann die Netzwerkbandbreitennutzung folgendermaßen ermittelt werden: (758 Byte Byte} x 500 EPS x 0,0003 = ca. 175 KBit/s Virtuelle Umgebung Sentinel ist eingehend getestet und wird auf einem VMware ESX-Server vollständig unterstützt. Wenn Sie eine virtuelle Umgebung einrichten, müssen die virtuellen Maschinen über mindestens 2 CPUs verfügen. Um auf ESX oder in anderen virtuellen Umgebungen Ergebnisse zu erzielen, die mit den Testergebnissen auf physischen Computern vergleichbar sind, sollte die virtuelle Umgebung dieselben Anforderungen an Arbeitsspeicher, CPU, Speicherplatz und E/A erfüllen, die auch für physische Computer gelten. Weitere Informationen zu Empfehlungen für physische Computer finden Sie unter Abschnitt 1.1, Systemanforderungen und unterstützte Plattformen, auf Seite Installations- und Konfigurationshandbuch für NetIQ Sentinel 7.0.1

19 1.2 Connector- und Collector-Systemanforderungen Die Systemanforderungen und unterstützten Plattformen sind für jeden Connector bzw. Collector unterschiedlich. Informationen hierzu finden Sie in der Connector- und Collector-Dokumentation auf der Sentinel-Plugins-Webseite ( sentinelplugins.html). 1.3 Verwendete Ports Abschnitt 1.3.1, Sentinel-Server, auf Seite 19 Abschnitt 1.3.2, Collector-Manager, auf Seite 20 Abschnitt 1.3.3, Correlation Engine, auf Seite Sentinel-Server Lokale Ports Für die interne Kommunikation mit der Datenbank und mit anderen internen Prozessen verwendet Sentinel folgende Ports: Ports TCP 5432 TCP TCP TCP Beschreibung Wird für die PostgreSQL-Datenbank verwendet. Dieser Port muss standardmäßig nicht geöffnet werden. Wenn Sie jedoch Berichte unter Verwendung von Sentinel SDK erstellen, muss dieser Port geöffnet werden. Weitere Informationen finden Sie auf der Sentinel-Plugin-SDK- Website ( index.php?title=develop_to_sentinel). Wird für die Sicherheitsintelligenz-Konfigurationsdatenbank verwendet. Wird für die Weboberfläche der Sicherheitsintelligenz-Datenbank verwendet. Wird für die interne Kommunikation zwischen dem Wrapper-Prozess und dem Serverprozess verwendet. Netzwerkports Für die externe Kommunikation mit anderen Komponenten verwendet Sentinel verschiedene Ports. Für die Appliance-Installation werden die Ports standardmäßig in der Firewall geöffnet. Für die Standardinstallation müssen Sie jedoch das Betriebssystem, auf dem Sie Sentinel installieren, so konfigurieren, dass die entsprechenden Ports in der Firewall geöffnet sind. Damit Sentinel ordnungsgemäß funktioniert, stellen Sie sicher, dass folgende Ports in der Firewall geöffnet sind: Erfüllen der Systemanforderungen 19

20 Ports TCP 1099 und 2000 TCP 1289 UDP 1514 TCP 8443 TCP 1443 TCP TCP TCP 1468 TCP Beschreibung Werden gemeinsam von Überwachungswerkzeugen verwendet, um mit Java Management Extensions (JMX) eine Verbindung zum Sentinel- Serverprozess herzustellen. Wird für Audit-Verbindungen verwendet. Wird für Syslog-Meldungen verwendet. Wird für die HTTPS-Kommunikation verwendet. Wird für SSL-verschlüsselte Syslog-Meldungen verwendet. Dient zur Kommunikation zwischen Collector-Manager-Instanzen und dem Server. Wird von Sentinel Control Center und Solution Designer verwendet. Wird für Syslog-Meldungen verwendet. Wird von den Remote-Collector-Manager-Instanzen verwendet, um über den SSL-Proxy eine Verbindung zum Server herzustellen. Dies ist jedoch ungewöhnlich. Standardmäßig verwenden die Remote-Collector-Manager- Instanzen für die Verbindung zum Server den SSL-Port Spezifische Ports für die Sentinel-Server-Appliance Zusätzlich zu den oben genannten Ports sind auf der Sentinel-Server-Appliance auch die folgenden Ports geöffnet. Ports TCP 22 TCP TCP 289 UDP 443 UDP 514 TCP 1290 UDP und TCP Beschreibung Wird für sicheren Shell-Zugriff auf die Sentinel Appliance verwendet. Wird von der Verwaltungskonsole der Sentinel-Appliance (WebYaST) verwendet. Wird außerdem von der Sentinel-Appliance für den Aktualisierungsservice verwendet. Wird für Audit-Verbindungen an 1289 weitergeleitet. Wird für die HTTPS-Kommunikation an 8443 weitergeleitet. Wird für Syslog-Meldungen an 1514 weitergeleitet. Dies ist der Sentinel Link-Port, der eine Verbindung über die SuSE-Firewall erstellen darf. Ports die bei der Konfiguration von Datensammlungsservern verwendet werden können, beispielsweise eines Syslog-Servers. Standardmäßig überwacht Sentinel diese Ports nicht Collector-Manager Netzwerkports Damit der Sentinel-Collector-Manager ordnungsgemäß funktioniert, stellen Sie sicher, dass folgende Ports in der Firewall geöffnet sind: 20 Installations- und Konfigurationshandbuch für NetIQ Sentinel 7.0.1