1.5 Sentinel-Plugins

Sentinel unterstützt eine Reihe von Plugins zur Erweiterung und Optimierung der Systemfunktionalität. Einige dieser Plugins sind bereits vorinstalliert. Von der Sentinel 6.1 Plugins-Website können weitere Plugins (und Updates) heruntergeladen werden.

Für das Herunterladen einiger Plugins (z. B. für Remedy Integrator, IBM Mainframe Connector und den Connector für SAP XAL) ist eine zusätzliche Lizenz erforderlich.

1.5.1 Collectors

Sentinel sammelt Daten von Quellgeräten und stellt einen umfassenderen Ereignisdatenstrom bereit, indem Taxonomie, Schwachstellenerkennung sowie Geschäftsrelevanz in den Datenstrom integriert werden, bevor Ereignisse korreliert, analysiert und an die Datenbank gesendet werden. Ein umfangreicherer Ereignisstrom bedeutet, dass die Daten mit dem erforderlichen Geschäftskontext korreliert werden, um interne bzw. externe Bedrohungen und Richtlinienverletzungen erkennen und beheben zu können.

Sentinel-Collectors können unter anderem Daten von folgenden Gerätetypen analysieren:

  • Intrusion Detection-Systeme (Host)

  • Intrusion Detection-Systeme (Netzwerk)

  • Firewalls

  • Betriebssysteme

  • Richtlinienüberwachung

  • Authentifizierung

  • Router und Switches

  • VPNs

  • Virenschutzsysteme

  • Webserver

  • Datenbanken

  • Mainframe

  • System zur Anfälligkeitsbewertung

  • Directory Services

  • Netzwerkverwaltungssysteme

  • Proprietäre Systeme

JavaScript-Collectors können mit standardmäßigen JavaScript-Entwicklungswerkzeugen und dem Collector-SDK geschrieben werden.

1.5.2 Connectors und Integratoren

Connectors stellen die Verbindung zwischen dem Collector-Manager und Ereignisquellen über Standardprotokolle wie JDBC (Java Database Connectivity) und Syslog her. Ereignisse werden zu Analysezwecken vom Connector an den Collector übertragen.

Integratoren ermöglichen die Durchführung von Gegenmaßnahmen auf Systemen außerhalb von Sentinel. So kann beispielsweise eine Korrelationsaktion den Simple Object Access Protocol-(SOAP-)Integrator zur Initiierung eines Novell Identity Manager-Workflows nutzen.

Mit dem optionalen Remedy AR-Integrator kann ein Remedy-Bericht anhand von Sentinel-Ereignissen oder -Vorfällen erstellt werden. Weitere Informationen finden Sie unter Action Manager and Integrator (Aktionsmanager und Integrator) im Sentinel Rapid Deployment User Guide (Sentinel 6.1 Rapid Deployment-Benutzerhandbuch).

1.5.3 Korrelationsregeln und -aktionen

Anhand von Korrelationsregeln werden wichtige Muster im Ereignis-Stream identifiziert. Wenn eine Korrelationsregel ausgelöst wird, initiiert sie Korrelationsaktionen, zu denen das Senden von Email-Benachrichtigungen, das Initiieren eines iTRAC-Workflows oder das Ausführen einer Aktion mithilfe eines Integrators gehören können. Weitere Informationen finden Sie unter Correlation Tab (Registerkarte Correlation) im Sentinel Rapid Deployment User Guide (Sentinel Rapid Deployment-Benutzerhandbuch).

1.5.4 Berichte

Mithilfe von Jasper Reports können Sie über die Weboberfläche von Sentinel Rapid Deployment eine Vielzahl von Dashboard- und operativen Berichten ausführen. Die Berichte werden üblicherweise über Lösungspakete verteilt.

1.5.5 iTRAC-Workflows

iTRAC-Workflows sorgen für konsistente, wiederholbare Prozesse beim Verwalten von Vorfällen. Die Workflow-Schablonen werden üblicherweise über Lösungspakete verteilt. iTRAC umfasst eine Gruppe von Standardschablonen, die Sie an Ihre spezifischen Anforderungen anpassen können. Weitere Informationen finden Sie unter iTRAC Workflows (iTRAC-Workflows) im Sentinel Rapid Deployment User Guide (Sentinel Rapid Deployment-Benutzerhandbuch).

1.5.6 Lösungspakete

Lösungspakete enthalten verwandte Sentinel-Inhalte wie z. B. Korrelationsregeln, Aktionen, iTRAC-Workflows und Berichte. Novell stellt Lösungspakete bereit, die auf spezifische Anforderungen im Geschäftsleben ausgerichtet sind. So liegt beim PCI-DSS-Lösungspaket der Schwerpunkt beispielsweise auf der Konformität mit dem Payment Card Industry Data Security Standard. Novell erstellt zudem Collector-Pakete, die hauptsächlich Inhalte einer bestimmten Ereignisquelle enthalten, beispielsweise Windows Active Directory. Weitere Informationen finden Sie unter Solution Packs (Lösungspakete) im Sentinel Rapid Deployment User Guide (Sentinel Rapid Deployment-Benutzerhandbuch).