Novell 5 Wizard Manuel utilisateur

PDF
ドキュメント
Novell
™
Sentinel
&reg;
5.1.3
7 juillet 2006
www.novell.com
Volume III : Guide d'utilisation du
composant Wizard de Sentinel
Avis juridique
Novell Inc. d&eacute;cline toute responsabilit&eacute; quant au contenu ou &agrave; l'utilisation de cette documentation et, en particulier,
exclut toute garantie, expresse ou implicite de qualit&eacute; loyale et marchande ou d'ad&eacute;quation &agrave; un usage particulier. En
outre, Novell Inc. se r&eacute;serve le droit de revoir la pr&eacute;sente publication et d'apporter des modifications &agrave; son contenu &agrave;
tout moment, sans &ecirc;tre tenu d'en avertir les personnes ou entit&eacute;s concern&eacute;es.
Novell Inc. d&eacute;cline toute responsabilit&eacute; en ce qui concerne les logiciels, et, en particulier, exclut toute garantie,
expresse ou implicite de qualit&eacute; loyale et marchande ou d'ad&eacute;quation &agrave; un usage particulier. De plus, Novell Inc. se
r&eacute;serve le droit d'apporter des modifications &agrave; tout ou partie des logiciels Novell, &agrave; tout moment, et sans &ecirc;tre tenu d'en
avertir les personnes ou entit&eacute;s concern&eacute;es.
Tout produit ou documentation technique fourni dans le cadre de cet accord peut faire l'objet de contr&ocirc;les &agrave;
l'exportation aux fronti&egrave;res des &Eacute;tats-Unis et est soumis au droit commercial des autres pays. Vous vous engagez &agrave; vous
conformer aux r&eacute;glementations propres aux contr&ocirc;les &agrave; l'exportation et &agrave; obtenir toutes les autorisations ou
classifications n&eacute;cessaires pour exporter, r&eacute;exporter ou importer des produits livrables. Vous acceptez de vous
conformer aux r&egrave;gles d'exportation am&eacute;ricaines et vous vous engagez donc &agrave; ne pas exporter ou r&eacute;exporter les produits
ou documentations techniques Novell &agrave; des entit&eacute;s figurant sur les listes d'exclusion d'exportation am&eacute;ricaines ou vers
des pays sous embargo am&eacute;ricain ou soup&ccedil;onn&eacute;s de terrorisme. Vous ne pouvez en aucun cas utiliser les produits
livrables Novell dans le cadre d'armes et de missiles nucl&eacute;aires, bact&eacute;riologiques et chimiques (NBC). Pour plus
d'informations sur l'exportation de logiciels Novell, reportez-vous au site www.novell.com/info/exports/. Novell ne
peut &ecirc;tre tenu pour responsable si vous n'obtenez pas les autorisations d'exportation n&eacute;cessaires.
Copyright &copy; 1999-2006, Novell Inc. Tous droits r&eacute;serv&eacute;s. La reproduction, la photocopie, le stockage ou la
transmission de cette publication, en tout ou en partie, sont interdits sans le consentement &eacute;crit pr&eacute;alable de l'&eacute;diteur.
Novell Inc. d&eacute;tient les droits de propri&eacute;t&eacute; intellectuelle relatifs aux technologies int&eacute;gr&eacute;es dans le produit d&eacute;crit dans le
pr&eacute;sent document.Ces droits de propri&eacute;t&eacute; intellectuelle peuvent notamment comprendre sans limitation un ou plusieurs
des brevets r&eacute;pertori&eacute;s &agrave; l'adresse http://www.novell.com/company/legal/patents/, ainsi qu'un ou plusieurs brevets ou
applications en attente d'&ecirc;tre brevet&eacute;es aux &Eacute;tats-Unis et dans d'autres pays.
Novell Inc.
404 Wyman Street, Suite 500
Waltham, MA 02451
&Eacute;tats-Unis
www.novell.com
Documentation en ligne :
Pour acc&eacute;der &agrave; la documentation en ligne relative aux produits Novell et pour obtenir des mises &agrave; jour,
reportez-vous au site Novell, &agrave; l'adresse suivante : www.novell.com/documentation.
Marques Novell
Pour les marques Novell, reportez-vous &agrave; la liste des marques et marques de service Novell &agrave; l'adresse suivante :
(http://www.novell.com/company/legal/trademarks/tmlist.html).
Marques tiers
Toutes les marques tiers sont la propri&eacute;t&eacute; de leurs d&eacute;tenteurs respectifs.
Avis juridique tiers
Sentinel 5 peut comprendre les technologies tierces suivantes :

Apache Axis et Apache Tomcat, Copyright &copy; 1999 &agrave; 2005, Apache Software Foundation. Pour obtenir plus
d'informations et conna&icirc;tre les avis de non-responsabilit&eacute; et les restrictions, reportez-vous &agrave;
http://www.apache.org/licenses/.

ANTLR : Pour obtenir plus d'informations et conna&icirc;tre les avis de non-responsabilit&eacute; et les restrictions, reportezvous &agrave; http://www.antlr.org.

Boost, Copyright &copy; 1999, Boost.org.

Bouncy Castle, Copyright &copy; 2000-2004, the Legion of Bouncy Castle. Pour obtenir plus d'informations et conna&icirc;tre
les avis de non-responsabilit&eacute; et les restrictions, reportez-vous au site http://www.bouncycastle.org.

Checkpoint : Copyright &copy; Check Point Software Technologies Ltd.

Concurrent, ensemble de programmes de service : Copyright &copy; Doug Lea. Utilis&eacute; sans les classes
CopyOnWriteArrayList et ConcurrentReaderHashMap.

Crypto++ Compilation : Copyright &copy; 1995-2003, Wei Dai, incorporant l'algorithme prot&eacute;g&eacute; par copyright mars.cpp
par Brian Gladman et Sean Woods. Pour obtenir plus d'informations et conna&icirc;tre les avis de non-responsabilit&eacute; et
les restrictions, reportez-vous &agrave; http://www.eskimo.com/~weidai/License.txt.

Crystal Reports Developer et Crystal Reports Server : Copyright &copy; 2004 Business Objects Software Limited.

DataDirect Technologies Corp. Copyright &copy; 1991-2003.

edpFTPj, sous licence Lesser GNU Public License. Pour obtenir plus d'informations et conna&icirc;tre les avis de nonresponsabilit&eacute; et les restrictions, reportez-vous &agrave; http://www.enterprisedt.com/products/edtftpj/purchase.html.

Enhydra Shark, sous licence Lesser General Public License disponible &agrave; : http://shark.objectweb.org/license.html.

ICEsoft ICEbrowser. ICEsoft Technologies, Inc. Copyright &copy; 2003-2004.

ILOG, Inc. Copyright &copy; 1999-2004.

Installshield Universal : Copyright &copy; 1996–2005, Macrovision Corporation et/ou Macrovision Europe Ltd.

Java 2 Platform, Standard Edition : Copyright &copy; Sun Microsystems, Inc. Pour obtenir plus d'informations et
conna&icirc;tre les avis de non-responsabilit&eacute; et les restrictions, reportez-vous &agrave; http://java.sun.com/j2se/1.4.2/j2re1_4_2_10-license.txt.
La plate-forme Java 2 peut &eacute;galement comprendre les produits tiers suivants :
&agrave;
CoolServlets &copy; 1999
&agrave;
DES et 3xDES &copy; 2000 par Jef Poskanzer
&agrave;
Crimson &copy; 1999-2000, The Apache Software Foundation
&agrave;
Xalan J2 &copy; 1999-2000, The Apache Software Foundation
&agrave;
NSIS 1.0j &copy; 1999-2000, Nullsoft, Inc.
&agrave;
Eastman Kodak Company &copy; 1992
&agrave;
Lucinda, une marque d&eacute;pos&eacute;e ou une marque de Bigelow and Holmes
&agrave;
Taligent, Inc.
&agrave;
IBM, certaines parties &eacute;tant disponibles &agrave; l'adresse suivante : http://oss.software.ibm.com/icu4j/
Pour obtenir plus d'informations sur ces technologies tiers et conna&icirc;tre les avis de non-responsabilit&eacute; et les
restrictions qui leur sont propres, reportez-vous &agrave; http://java.sun.com/j2se/1.4.2/j2se-1_4_2thirdpartylicensereadme.txt.

JavaBeans Activation Framework (JAF) : Copyright &copy; Sun Microsystems, Inc. Pour obtenir plus d'informations et
conna&icirc;tre les avis de non-responsabilit&eacute; et les restrictions, acc&eacute;dez au site
http://www.java.sun.com/products/javabeans/glasgow/jaf.html et cliquez sur Download (T&eacute;l&eacute;charger) pour pouvoir
afficher la licence correspondante (License).

JavaMail : Copyright &copy; Sun Microsystems, Inc. Pour obtenir plus d'informations et conna&icirc;tre les avis de nonresponsabilit&eacute; et les restrictions, acc&eacute;dez au site http://www.java.sun.com/products/javamail/downloads/index.html
et cliquez sur Download (T&eacute;l&eacute;charger) pour pouvoir afficher la licence correspondante (License).

Java Ace, par Douglas C. Schmidt et son groupe de recherche de Washington University et Tao (avec classes
enveloppantes ACE) par Douglas C. Schmidt et son groupe de recherche de Washington University, University of
California, Irvine et Vanderbilt University. Copyright &copy; 1993-2005. Pour obtenir plus d'informations et conna&icirc;tre
les avis de non-responsabilit&eacute; et les restrictions, reportez-vous &agrave; http://www.cs.wustl.edu/~schmidt/ACEcopying.html et http://www.cs.wustl.edu/~pjain/java/ace/JACE-copying.html.

Java Authentication et Authorization Service Modules, sous licence Lesser General Public License. Pour obtenir
plus d'informations et conna&icirc;tre les avis de non-responsabilit&eacute; et les restrictions, reportez-vous &agrave;
http://free.tagish.net/jaas/index.jsp.

Java Network Launching Protocol (JNLP) : Copyright &copy; Sun Microsystems, Inc. Pour obtenir plus d'informations
et conna&icirc;tre les avis de non-responsabilit&eacute; et les restrictions, acc&eacute;dez au site
http://www.java.sun.com/products/javawebstart/download-jnlp.html et cliquez sur Download (T&eacute;l&eacute;charger) pour
pouvoir afficher la licence correspondante (License).

Java Service Wrapper : parties prot&eacute;g&eacute;es par copyright comme suit : Copyright &copy; 1999, 2004 Tanuki Software et
Copyright &copy; 2001 Silver Egg Technology. Pour obtenir plus d'informations et conna&icirc;tre les avis de nonresponsabilit&eacute; et les restrictions, reportez-vous &agrave; http://wrapper.tanukisoftware.org/doc/english/license.html.

JIDE : Copyright &copy; 2002-2005, JIDE Software, Inc.

jTDS est conc&eacute;d&eacute; sous licence Lesser GNU Public License. Pour obtenir plus d'informations et conna&icirc;tre les avis de
non-responsabilit&eacute; et les restrictions, reportez-vous &agrave; http://jtds.sourceforge.net/.

MDateSelector : Copyright &copy; 2005, Martin Newstead, conc&eacute;d&eacute; sous licence Lesser General Public License. Pour
obtenir plus d'informations et conna&icirc;tre les avis de non-responsabilit&eacute; et les restrictions, reportez-vous &agrave;
http://web.ukonline.co.uk/mseries.

Monarch Charts : Copyright &copy; 2005, Singleton Labs.

Net-SNMP : certaines parties du code sont prot&eacute;g&eacute;es par copyright par diverses entit&eacute;s, qui se r&eacute;servent tous les
droits. Copyright &copy; 1989, 1991, 1992 par Carnegie Mellon University ; Copyright &copy; 1996, 1998 &agrave; 2000, the
Regents of the University of California ; Copyright &copy; 2001 &agrave; 2003 Networks Associates Technology, Inc. ;
Copyright &copy; 2001 &agrave; 2003, Cambridge Broadband, Ltd. ; Copyright &copy; 2003 Sun Microsystems, Inc. et Copyright &copy;
2003 &agrave; 2004, Sparta, Inc. Pour obtenir plus d'informations et conna&icirc;tre les avis de non-responsabilit&eacute; et les
restrictions, reportez-vous &agrave; http://net-snmp.sourceforge.net.

The OpenSSL Project : Copyright &copy; 1998-2004, The Open SSL Project. Pour obtenir plus d'informations et
conna&icirc;tre les avis de non-responsabilit&eacute; et les restrictions, reportez-vous &agrave; http://www.openssl.org.

Oracle Help pour Java : Copyright &copy; 1994-2006, Oracle Corporation.

RoboHELP Office : Copyright &copy; Adobe Systems Incorporated, anciennement Macromedia.

Skin Look and Feel (SkinLF) : Copyright &copy; 2000-2006 L2FProd.com. Conc&eacute;d&eacute; sous licence Apache Software.
Pour obtenir plus d'informations et conna&icirc;tre les avis de non-responsabilit&eacute; et les restrictions, reportez-vous &agrave;
https://skinlf.dev.java.net/.

Sonic Software Corporation : Copyright &copy; 2003-2004. Le logiciel SSC contient un logiciel de s&eacute;curit&eacute; conc&eacute;d&eacute;
sous licence par RSA Security, Inc.

Tinyxml : pour obtenir plus d'informations et conna&icirc;tre les avis de non-responsabilit&eacute; et les restrictions, reportezvous &agrave; http://grinninglizard.com/tinyxmldocs/index.html.

SecurityNexus : Copyright &copy; 2003-2006, SecurityNexus, LLC. Tous droits r&eacute;serv&eacute;s.

Xalan et Xerces, chacun conc&eacute;d&eacute; sous licence par Apache Software Foundation Copyright &copy; 1999-2004. Pour
obtenir plus d'informations et conna&icirc;tre les avis de non-responsabilit&eacute; et les restrictions, reportez-vous &agrave;
http://xml.apache.org/dist/LICENSE.txt.

yWorks : Copyright &copy; 2003-2006, yWorks.
REMARQUE : lors de la publication de cette documentation, les liens ci-dessus
&eacute;taient actifs. Si l'un de ces liens est rompu ou que les pages Web li&eacute;es sont
inactives, veuillez contacter Novell Inc., 404 Wyman Street, Suite 500, Waltham,
MA 02451 U.S.A.
Sommaire
1 Pr&eacute;sentation de Wizard
1-1
Sommaire ................................................................................................................................................ 1-1
Conventions utilis&eacute;es .............................................................................................................................. 1-1
Conventions relatives aux remarques et aux points devant attirer votre attention
1-1
Commandes
1-1
Wizard ..................................................................................................................................................... 1-2
Collecteurs .............................................................................................................................................. 1-3
Fichiers de mod&egrave;le
1-5
Fichiers de param&egrave;tre
1-9
Fichiers de recherche
1-9
Fichiers d'assignation
1-9
Fichiers de manifeste
1-10
Autres r&eacute;f&eacute;rences Sentinel .................................................................................................................... 1-11
Pour contacter Novell ............................................................................................................................ 1-11
2 Gestion d'h&ocirc;tes Wizard
2-1
R&eacute;cup&eacute;ration de donn&eacute;es du collecteur par un h&ocirc;te Wizard ................................................................... 2-2
Autorisations de l'h&ocirc;te Wizard ................................................................................................................. 2-2
Gestion d'h&ocirc;te Wizard ............................................................................................................................. 2-3
D&eacute;marrage et arr&ecirc;t du Gestionnaire des collecteurs
2-3
Administration du Gestionnaire des collecteurs
2-5
D&eacute;marrage du G&eacute;n&eacute;rateur de collecteurs
2-7
Assignation d'un nouveau nom &agrave; un h&ocirc;te Wizard
2-8
Suppression d'un h&ocirc;te Wizard
2-8
Red&eacute;marrage d'un h&ocirc;te Wizard
2-8
Exportation d'un h&ocirc;te Wizard
2-8
Affichage des propri&eacute;t&eacute;s de l'h&ocirc;te Wizard
2-9
Modification d'un fichier de mod&egrave;le
2-9
Suppression d'un fichier de mod&egrave;le
2-10
Assignation d'un nouveau nom &agrave; un fichier de recherche
2-10
Suppression d'un fichier de recherche
2-11
Suppression d'un script
2-11
Suppression d'une s&eacute;quence de d&eacute;marrage
2-11
Ports Wizard.......................................................................................................................................... 2-11
D&eacute;marrage et arr&ecirc;t d'un port Wizard (interface utilisateur graphique)
2-12
Modification de la configuration d'un port Wizard
2-12
Suppression d'un port Wizard
2-13
D&eacute;bogage d'un port Wizard
2-13
T&eacute;l&eacute;chargement de collecteurs et d'h&ocirc;tes
2-15
Mise &agrave; niveau des collecteurs
2-20
3 G&eacute;n&eacute;ration et gestion des collecteurs
3-1
Notions de base n&eacute;cessaires &agrave; la g&eacute;n&eacute;ration d'un collecteur.................................................................. 3-2
Principales &eacute;tapes d'impl&eacute;mentation d'un collecteur ............................................................................... 3-2
G&eacute;n&eacute;ration d'un collecteur....................................................................................................................... 3-4
Cr&eacute;ation et configuration de fichiers de mod&egrave;le
3-4
Cr&eacute;ation et configuration de fichiers de param&egrave;tre
3-9
Cr&eacute;ation et configuration de fichiers de recherche
3-10
Sommaire
1
Scripts
3-11
Cr&eacute;ation d'un port Wizard
3-13
Processus permanents et temporaires.................................................................................................. 3-18
Configuration de l'option Rx/Tx Value (Valeur Rx/Tx) pour une connexion permanente ou temporaire
(de type Rx/Tx)
3-19
Configuration de SNMP Trap (trappes SNMP)...................................................................................... 3-20
Adresse(s) IP du collecteur
3-23
Version SNMP
3-24
Port de trappes UDP
3-24
Param&egrave;tres SNMP v1
3-24
Param&egrave;tres SNMP v2/v3
3-24
Variables de trappes SNMP
3-25
Variables de trappes SNMP v1 et v3
3-25
Variables de trappes SNMP v1
3-26
Variables de trappes SNMP v3
3-26
A Connecteur Syslog v1.0.2
A-1
Architecture .............................................................................................................................................A-1
Installation et d&eacute;sinstallation....................................................................................................................A-3
Configuration syst&egrave;me requise
A-3
Installation
A-3
D&eacute;sinstallation
A-4
Utilisation.................................................................................................................................................A-5
Serveur proxy Syslog
A-5
Client du connecteur Syslog
A-8
Configuration de la consignation pour le serveur proxy Syslog .............................................................A-11
Exemples d'arguments de ligne de commande.....................................................................................A-12
Tableau des types (facility) pris en charge ............................................................................................A-14
Tableau des niveaux (level) pris en charge ...........................................................................................A-14
Remarques sur le d&eacute;ploiement..............................................................................................................A-14
Messages &agrave; retransmettre au proxy Syslog
A-14
B Configuring a Socket Server on a UNIX Host
2
Sentinel Wizard User’s Guide
B-1
Pr&eacute;face
La documentation technique de Sentinel explique le fonctionnement g&eacute;n&eacute;ral de l'application
et constitue un guide de r&eacute;f&eacute;rence. Elle est destin&eacute;e aux professionnels de la s&eacute;curit&eacute; des
informations. Elle est la source de r&eacute;f&eacute;rence relative &agrave; Enterprise Security Management
System de Sentinel. Une documentation suppl&eacute;mentaire est disponible sur le portail
Web Sentinel.
La documentation technique de Sentinel se compose de cinq volumes. Ces volumes sont les
suivants :





Volume I : Guide d'installation de Sentinel™ 5
Volume II : Guide de l'utilisateur de Sentinel™ 5
Volume III : Guide d'utilisation du composant Wizard de Sentinel™ 5
Volume IV : Guide des r&eacute;f&eacute;rences utilisateur de Sentinel™ 5
Volume V : Guide de l'int&eacute;gration de produits tiers de Sentinel™5
Volume I : Guide d'installation de Sentinel
Ce guide explique comment installer les composants suivants :




Sentinel Server
Console Sentinel
Moteur de corr&eacute;lation Sentinel
Sentinel Crystal Reports



G&eacute;n&eacute;rateur de collecteurs Wizard
Gestionnaire des collecteurs Wizard
Advisor
Volume II : Guide de l'utilisateur de Sentinel
Ce guide aborde les sujets suivants :










Fonctionnement de la console Sentinel
Fonctionnalit&eacute;s de Sentinel
Architecture de Sentinel
Serveur de communication Sentinel
Arr&ecirc;t et d&eacute;marrage de Sentinel
&Eacute;valuation des vuln&eacute;rabilit&eacute;s
Surveillance des &eacute;v&eacute;nements
Filtrage des &eacute;v&eacute;nements
Corr&eacute;lation des &eacute;v&eacute;nements
Gestionnaire de donn&eacute;es Sentinel








Configuration des &eacute;v&eacute;nements en rapport
avec l'entreprise
Service d'assignation
Rapports d'historique
Gestion d'h&ocirc;te Wizard
Incidents
Cas
Gestion des utilisateurs
Processus de travail
Volume III : Guide d'utilisation du composant Wizard
de Sentinel
Ce guide aborde les sujets suivants :



Fonctionnement du g&eacute;n&eacute;rateur de
collecteurs Wizard
Gestionnaire des collecteurs Wizard
Collecteurs


Gestion d'h&ocirc;te Wizard
G&eacute;n&eacute;ration et gestion des collecteurs
Volume IV : Guide des r&eacute;f&eacute;rences utilisateur de Sentinel
Ce guide aborde les sujets suivants :




Langage de script de Wizard
Commandes d'analyse de Wizard
Fonctions administratives de Wizard
Balises META de Wizard et de Sentinel




Moteur de corr&eacute;lation Sentinel
Autorisations utilisateur
Options de ligne de commande de
corr&eacute;lation
Sch&eacute;ma de la base de donn&eacute;es Sentinel
Volume V : Guide d'int&eacute;gration de produits tiers de Sentinel


Remedy
HP OpenView Operations

HP Service Desk
1
Pr&eacute;sentation de Wizard
REMARQUE : les termes Agent et Collecteur sont interchangeables. Le terme
Collecteur sera utilis&eacute; dans la suite de cette documentation.
Le guide d'utilisation du composant Wizard constitue une pr&eacute;sentation du fonctionnement de
Novell Wizard. Ce guide explique le fonctionnement de chaque composant ainsi que les
interactions entre tous les composants.
Son contenu implique que vous soyez d&eacute;j&agrave; familiaris&eacute; avec la s&eacute;curit&eacute; r&eacute;seau, l'administration
de bases de donn&eacute;es et les syst&egrave;mes d'exploitation Windows et UNIX.
Sommaire
Ce guide contient les chapitres suivants :






Chapitre 1 : Pr&eacute;sentation de Wizard
Chapitre 2 : Gestion d'h&ocirc;tes Wizard
Chapitre 3 : G&eacute;n&eacute;ration et gestion des collecteurs
Annexe A : Connecteur Syslog
Annexe B : Serveur de socket
Annexe C : Informations de copyright
Conventions utilis&eacute;es
Conventions relatives aux remarques et aux points devant attirer
votre attention
REMARQUE : les remarques apportent des informations suppl&eacute;mentaires utiles.
ATTENTION : ces paragraphes vous mettent en garde contre les op&eacute;rations
susceptibles d'endommager ou d'entra&icirc;ner la perte de donn&eacute;es sur votre syst&egrave;me.
Commandes
Les commandes s'affichent dans la police courier. Exemple :
useradd –g dba –d /export/home/oracle –m –s /bin/csh
oracle
Pr&eacute;sentation de Wizard
1-1
Wizard
Le composant Wizard vous permet de cr&eacute;er, configurer et contr&ocirc;ler les collecteurs. Ces
collecteurs servent &agrave; recueillir et &agrave; normaliser les &eacute;v&eacute;nements provenant de p&eacute;riph&eacute;riques et
de programmes de s&eacute;curit&eacute;. Ces &eacute;v&eacute;nements normalis&eacute;s sont ensuite envoy&eacute;s &agrave; Sentinel pour
&ecirc;tre analys&eacute;s en temps r&eacute;el, trait&eacute;s par des corr&eacute;lations et utilis&eacute;s dans la r&eacute;ponse
aux incidents.
REMARQUE : dans une configuration &agrave; plusieurs G&eacute;n&eacute;rateurs de collecteurs, il est
recommand&eacute;, mais pas obligatoire, de d&eacute;signer l'un des G&eacute;n&eacute;rateurs comme
G&eacute;n&eacute;rateur de collecteurs principal. L'ordinateur correspondant peut alors servir
d'emplacement de stockage, de d&eacute;veloppement et de modification de configuration
des collecteurs ainsi que d'emplacement de configuration des ports.
Wizard comprend les &eacute;l&eacute;ments suivants :


Le G&eacute;n&eacute;rateur de collecteurs est l'interface utilisateur du composant Wizard. Il permet de
cr&eacute;er, de configurer, de d&eacute;ployer et de contr&ocirc;ler les collecteurs. Il ex&eacute;cute les collecteurs
localement mais sert &eacute;galement &agrave; t&eacute;l&eacute;charger et contr&ocirc;ler les collecteurs sur des
syst&egrave;mes distants.
Le Gestionnaire des collecteurs est l'interface dorsale du composant Wizard. Il g&egrave;re les
collecteurs, surveille les messages de statut du syst&egrave;me et filtre de mani&egrave;re globale
les &eacute;v&eacute;nements.
Un collecteur est un r&eacute;cepteur qui r&eacute;cup&egrave;re et normalise des &eacute;v&eacute;nements bruts provenant de
p&eacute;riph&eacute;riques et de syst&egrave;mes de s&eacute;curit&eacute;, et qui g&eacute;n&egrave;re des &eacute;v&eacute;nements normalis&eacute;s. Ces
&eacute;v&eacute;nements peuvent ensuite faire l'objet de corr&eacute;lations et de rapports et &ecirc;tre utilis&eacute;s pour
r&eacute;pondre &agrave; des incidents. Le logiciel Sentinel est livr&eacute; avec des collecteurs de niveau
logiciel 1. Pour t&eacute;l&eacute;charger d'autres collecteurs, rendez-vous sur le portail client de Sentinel &agrave;
l'adresse http://www.esecurityinc.com.
1-2
Guide d'utilisation du composant Wizard de Sentinel
Collecteurs
Les collecteurs sont utilis&eacute;s pour le filtrage et la standardisation de donn&eacute;es d'&eacute;v&eacute;nement
sensibles afin de les convertir dans un format normalis&eacute; pour que le processus Sentinel puisse
les traiter. Il existe trois niveaux de collecteur :



Collecteurs pris en charge de niveau 1 (T1), dont les caract&eacute;ristiques sont les suivantes :
&agrave; document&eacute;s ;
&agrave; dot&eacute;s de m&eacute;tadonn&eacute;es ;
&agrave; disponibles pour tous les clients ;
&agrave; agr&eacute;ment&eacute;s d'une assistance technique.
Collecteurs document&eacute;s de niveau 2 (T2), dont les caract&eacute;ristiques sont les suivantes :
&agrave; destin&eacute;s &agrave; la biblioth&egrave;que des collecteurs ;
&agrave; document&eacute;s ;
&agrave; dot&eacute;s de m&eacute;tadonn&eacute;es ;
&agrave; con&ccedil;us sur les mod&egrave;les du composant Sentinel standard ;
&agrave; agr&eacute;ment&eacute;s d'une assistance technique restreinte.
Collecteurs d'exemple de niveau 3 (T3), dont les caract&eacute;ristiques sont les suivantes :
&agrave; dot&eacute;s d'&eacute;chantillons de concept ;
&agrave; d&eacute;velopp&eacute;s de fa&ccedil;on personnalis&eacute;e pour chaque client ;
&agrave; pas n&eacute;cessairement dot&eacute;s de m&eacute;tadonn&eacute;es et/ou document&eacute;s ;
&agrave; agr&eacute;ment&eacute;s d'une assistance technique restreinte.
Les collecteurs vous donnent acc&egrave;s &agrave; des donn&eacute;es d'&eacute;v&eacute;nement provenant de
sources multiples :
 Syst&egrave;mes de d&eacute;tection d'intrusion (h&ocirc;te)
 Syst&egrave;mes de d&eacute;tection
d'intrusion (r&eacute;seau)
 Pare-feux
 Syst&egrave;mes d'exploitation
 Surveillance des strat&eacute;gies
 Authentification
 Routeurs et commutateurs
 VPN (Virtual Private Network)








Antivirus
Serveurs Web
Bases de donn&eacute;es
Ordinateur central
&Eacute;valuation des vuln&eacute;rabilit&eacute;s
Services d'annuaire
Gestion du r&eacute;seau
Syst&egrave;mes propri&eacute;taires
Les composants des collecteurs sont les suivants :





Fichiers de mod&egrave;le
Fichiers de param&egrave;tre
Fichiers de recherche
Fichiers d'assignation
Fichier de description des param&egrave;tres et fichiers de manifeste
Le fichier de mod&egrave;le et le fichier de param&egrave;tre associ&eacute; sont fusionn&eacute;s dans diff&eacute;rents fichiers
de script lorsque le script du collecteur est g&eacute;n&eacute;r&eacute;.
Chaque fichier de script se voit attribuer le nom correspondant &agrave; l'en-t&ecirc;te de la colonne
comprenant l'ensemble des valeurs dans le fichier de param&egrave;tre. Ces fichiers de script sont
regroup&eacute;s de fa&ccedil;on ordonn&eacute;e par s&eacute;quences de d&eacute;marrage et s&eacute;quences de retour &agrave;
l'&eacute;tat ant&eacute;rieur.
Pr&eacute;sentation de Wizard
1-3
Des s&eacute;quences de d&eacute;marrage et de retour &agrave; l'&eacute;tat ant&eacute;rieur sont assign&eacute;es &agrave; un port qui ex&eacute;cute
les s&eacute;ries de scripts qu'il contient lorsqu'il est d&eacute;marr&eacute; ou arr&ecirc;t&eacute;. Un script doit &ecirc;tre inclus
dans une s&eacute;quence de d&eacute;marrage ou de retour &agrave; l'&eacute;tat ant&eacute;rieur pour pouvoir &ecirc;tre utilis&eacute; par un
port. Les ports permettent &agrave; un collecteur de localiser les h&ocirc;tes Wizard sur un r&eacute;seau, car ils
fournissent l'adresse IP ou un nom de fichier relatif &agrave; ces h&ocirc;tes. Ils apportent &eacute;galement &agrave;
Sentinel les informations relatives &agrave; l'emplacement des capteurs et au collecteur utilis&eacute; pour
g&eacute;rer les donn&eacute;es de ces capteurs. Les options suivantes peuvent &ecirc;tre configur&eacute;es pour
les ports :


Type de connexion
&agrave; Serial : donn&eacute;es lues sur un port s&eacute;rie RS-232C.
&agrave; Socket : connexion par socket TCP.
&agrave; File New (fichier actualis&eacute;) : lit uniquement les donn&eacute;es d'&eacute;v&eacute;nement de s&eacute;curit&eacute; qui
ont &eacute;t&eacute; ajout&eacute;es au fichier apr&egrave;s le d&eacute;marrage du script (lit &agrave; partir de la fin
du fichier).
&agrave; File All (tout le fichier) : lit toutes les donn&eacute;es d'&eacute;v&eacute;nement de s&eacute;curit&eacute; d'un fichier.
&agrave; Persistent Process (processus permanent) : lance un processus permanent lorsque le
port a d&eacute;marr&eacute; ; permet la communication entre le collecteur assign&eacute; &agrave; ce port et une
application externe via des &eacute;tats de r&eacute;ception et de transmission ; s'ex&eacute;cute sans arr&ecirc;t
tant que le port est actif.
&agrave; Transient Process (processus temporaire) : permet la communication entre le
collecteur assign&eacute; &agrave; ce port et une application externe via des &eacute;tats de r&eacute;ception et de
transmission. Un processus temporaire peut &ecirc;tre d&eacute;marr&eacute; &agrave; plusieurs reprises.
&agrave; SNMP : re&ccedil;oit des trappes SNMP v1, v2 et v3.
&agrave; Aucun
Nom du collecteur : vous pouvez renommer, copier et ajouter des collecteurs.
Lorsqu'un mod&egrave;le utilise la commande d'analyse LOOKUP() , le fichier de recherche
appropri&eacute; est analys&eacute; pour y rep&eacute;rer le bloc de commandes d'analyse &agrave; ex&eacute;cuter voulu.
Lorsqu'un mod&egrave;le utilise la commande d'analyse TRANSLATE, cette derni&egrave;re charge un
fichier d'assignation permettant une recherche rapide sur des entr&eacute;es de cl&eacute;.
1-4
Guide d'utilisation du composant Wizard de Sentinel
Fichiers de mod&egrave;le
Vous pouvez cr&eacute;er des mod&egrave;les, y ins&eacute;rer des &eacute;tats, modifier et supprimer ces mod&egrave;les. Ces
derniers d&eacute;terminent la fa&ccedil;on dont les enregistrements sont trait&eacute;s. La plupart des d&eacute;cisions
concernant les mod&egrave;les ont &agrave; voir avec le type des enregistrements utilis&eacute;s et leur format. Les
fichiers de mod&egrave;le correspondant &agrave; ce type de fichier portent l'extension .tem. Ils se trouvent
dans le r&eacute;pertoire %WORKBENCH_HOME%\elements\&lt;Nom du collecteur&gt;.
Les fichiers de mod&egrave;le sont &eacute;labor&eacute;s en fonction d'&eacute;tats. Un &eacute;tat est un point d&eacute;cisionnel
pr&eacute;cis dans le flux ou sur le chemin logique d'un mod&egrave;le. Chaque point, ou &eacute;tat, contient des
informations sur le processus &agrave; ex&eacute;cuter. Ces &eacute;tats font r&eacute;f&eacute;rence &agrave; des param&egrave;tres. Lorsque le
mod&egrave;le est fusionn&eacute; avec un fichier de param&egrave;tres, des valeurs sp&eacute;cifiques remplacent les
param&egrave;tres. Lorsque les param&egrave;tres sont remplac&eacute;s par ces valeurs, un ou plusieurs fichiers de
script sont cr&eacute;&eacute;s.
Lors de son insertion dans un mod&egrave;le, un &eacute;tat se voit assigner un num&eacute;ro qu'il conserve, quel
que soit son emplacement dans le mod&egrave;le par la suite. Il existe trois ensembles d'&eacute;tats :



Les &eacute;tats Transmit (Transmettre), Receive (Recevoir), Decide (D&eacute;cider) et Parse (Analyser),
num&eacute;rot&eacute;s selon l'ordre dans lequel ils sont ins&eacute;r&eacute;s dans le mod&egrave;le :
&agrave; &Eacute;tat Transmit (Transmettre) (Tx) : transmet une cha&icirc;ne &agrave; un port d&eacute;fini.
&agrave; &Eacute;tat Receive (Recevoir) (Rx) : d&eacute;finit si le composant Wizard peut recevoir les
informations provenant d'une application de s&eacute;curit&eacute; dans la m&eacute;moire tampon. Les
informations sont extraites de la d&eacute;finition du port.
&agrave; &Eacute;tat Decide (D&eacute;cider) : utilise une cha&icirc;ne de donn&eacute;es ou une variable pour
d&eacute;terminer l'&eacute;tat auquel passer ensuite.
&agrave; &Eacute;tat Parse (Analyser) : utilise les commandes d'analyse pour cr&eacute;er des mod&egrave;les
capables de traiter les informations collect&eacute;es dans le tampon de r&eacute;ception.
Les &eacute;tats Next (Suivant) et Go To (Retourner &agrave;) , identifi&eacute;s par le num&eacute;ro de l'&eacute;tat vers lequel
ils pointent :
&agrave; &Eacute;tat Next (Suivant) : indique l'&eacute;tat auquel passer dans le script suivant.
&agrave; &Eacute;tat Go To (Retourner &agrave;) : permet de revenir &agrave; un &eacute;tat pr&eacute;c&eacute;dent du script en cours.
L'&eacute;tat Arr&ecirc;ter, toujours d&eacute;sign&eacute; par le num&eacute;ro 0. Indique le moment o&ugrave; l'ex&eacute;cution d'un
processus doit prendre fin sur un port.
&Eacute;tat Transmit (Transmettre)
L'&eacute;tat Transmit (Transmettre) envoie une cha&icirc;ne de donn&eacute;es ou une variable, selon le type de
donn&eacute;es s&eacute;lectionn&eacute;, vers la connexion configur&eacute;e pour le collecteur concern&eacute;. Si la
connexion est rompue au moment o&ugrave; le processus arrive &agrave; l'&eacute;tat de transmission et qu'une
valeur est entr&eacute;e dans la zone Rx/Tx Value (Valeur Rx/Tx) du panneau des informations de
port du mod&egrave;le, l'&eacute;v&eacute;nement suivant se produit et des tentatives de reconnexion ont lieu
jusqu'&agrave; ce qu'une connexion soit de nouveau &eacute;tablie.
Un espace intercaract&egrave;res indique le nombre de millisecondes (ms) &eacute;coul&eacute;es entre les envois
de chaque octet de donn&eacute;es.
Pr&eacute;sentation de Wizard
1-5
&Eacute;tat Receive (R&eacute;ception)
L'&eacute;tat Receive (R&eacute;ception) indique la m&eacute;thode que le composant Wizard utilise pour
d&eacute;terminer le moment o&ugrave; les donn&eacute;es ont &eacute;t&eacute; re&ccedil;ues du collecteur. Pour l'&eacute;tat Receive
(R&eacute;ception), il vous faut indiquer :



le type de r&eacute;ception ;
le nombre d'octets minimal ;
une cha&icirc;ne de d&eacute;cision s&eacute;paratrice.
Si la connexion est rompue au moment o&ugrave; le processus arrive &agrave; l'&eacute;tat de transmission et
qu'une valeur est entr&eacute;e dans la zone Rx/Tx Value (Valeur Rx/Tx) du panneau des
informations de port du mod&egrave;le, l'&eacute;v&eacute;nement suivant se produit et des tentatives de
reconnexion ont lieu jusqu'&agrave; ce qu'une connexion soit de nouveau &eacute;tablie.
Apr&egrave;s passage par l'&eacute;tat de r&eacute;ception du tampon de r&eacute;ception Rx Buffer, deux variables sont
automatiquement compl&eacute;t&eacute;es &agrave; l'aide des r&eacute;sultats obtenus :


s_RXBufferString contient le texte re&ccedil;u par Rx Buffer.
i_RXBufferLength indique la longueur de la cha&icirc;ne s_RXBufferString.
Les m&ecirc;mes r&eacute;sultats sont obtenus par l'ex&eacute;cution du code de script suivant juste apr&egrave;s un &eacute;tat
de r&eacute;ception :


COPY(s_RXBufferString:)
LENGTH(i_RXBufferLength,s_RXBufferString)
Le fait que ces variables soient compl&eacute;t&eacute;es automatiquement permet une analyse rapide par
l'&eacute;tat de d&eacute;cision pour savoir si l'&eacute;tat de r&eacute;ception a expir&eacute; ou pas (i_RXBufferLength = 0).
Cela permet &eacute;galement l'utilisation de Rx Buffer directement, par l'interm&eacute;diaire de la
variable s_RXBufferString.
Types de r&eacute;ception : dans Template Editor (&Eacute;diteur de mod&egrave;les), il existe quatre types de
r&eacute;ception. Ces types sont les suivants :


Timeout : permet &agrave; un script de continuer &agrave; s'ex&eacute;cuter m&ecirc;me si les donn&eacute;es n'ont pas &eacute;t&eacute;
re&ccedil;ues dans l'intervalle de temps sp&eacute;cifi&eacute;. Si vous s&eacute;lectionnez une valeur de timeout, le
composant Wizard peut continuer &agrave; recevoir des donn&eacute;es jusqu'&agrave; ce que l'intervalle de temps
sp&eacute;cifi&eacute; soit &eacute;coul&eacute;, comme d&eacute;fini par la variable RX_TIMEOUT_DELAY.
Attente : ce type est surtout utilis&eacute; lorsque des messages d'&eacute;v&eacute;nement ind&eacute;sirables sont re&ccedil;us.
Le composant Wizard attend, le temps du timeout, que les donn&eacute;es soient re&ccedil;ues.
REMARQUE : pour les types de r&eacute;ception Timeout et Attente, l'ex&eacute;cution du script
s'interrompt jusqu'&agrave; ce que le nombre d'octets minimal soit re&ccedil;u ou jusqu'&agrave; ce que le
d&eacute;lai de timeout indiqu&eacute; pour l'option correspondante soit atteint.

1-6
Delim Timeout (Timeout de s&eacute;paration) : utilise une cha&icirc;ne de caract&egrave;res pr&eacute;d&eacute;finie pour
indiquer au composant Wizard que les donn&eacute;es ont &eacute;t&eacute; re&ccedil;ues. Les donn&eacute;es de la zone
Delimiter Decide String (Cha&icirc;ne de d&eacute;cision s&eacute;paratrice) sont compar&eacute;es aux donn&eacute;es du
tampon de r&eacute;ception, octet par octet.
Guide d'utilisation du composant Wizard de Sentinel

Delim Wait (Attente de s&eacute;paration) : ce type est utilis&eacute; lorsque des messages ind&eacute;sirables sont
re&ccedil;us. Une cha&icirc;ne de caract&egrave;res d&eacute;finie par l'utilisateur indique au composant Wizard que les
donn&eacute;es ont &eacute;t&eacute; re&ccedil;ues. Wizard se sert des donn&eacute;es de la zone Delimiter Decide String
(Cha&icirc;ne de d&eacute;cision s&eacute;paratrice) pour v&eacute;rifier les donn&eacute;es re&ccedil;ues, octet par octet. Le param&egrave;tre
RX_TIMEOUT_DELAY n'intervient pas lors de l'utilisation de cette option.
REMARQUE : pour les types de r&eacute;ception Delim Timeout (Timeout de s&eacute;paration)
et Delim Wait (Attente de s&eacute;paration), l'ex&eacute;cution du script s'interrompt jusqu'&agrave; ce
que la cha&icirc;ne de d&eacute;cision s&eacute;paratrice soit d&eacute;finie sur true et que le nombre d'octets
minimal soit re&ccedil;u ou jusqu'&agrave; ce que le d&eacute;lai de timeout indiqu&eacute; &agrave; l'option Delim
Timeout soit atteint.
Minimum Bytes (Nombre d'octets minimal) : le nombre minimal d'octets est le nombre
d'octets re&ccedil;us qui doit &ecirc;tre atteint pour que le composant Wizard utilise le d&eacute;lai de timeout
d&eacute;fini par d&eacute;faut. Si ce nombre n'est pas atteint, le composant continue &agrave; s'ex&eacute;cuter. Tant que
le nombre minimal d'octets re&ccedil;us n'est pas atteint, le traitement interne au script s'interrompt.
Delimiter Decide String (Cha&icirc;ne de d&eacute;cision s&eacute;paratrice) : cette cha&icirc;ne s'applique lorsque le
type de r&eacute;ception est d&eacute;fini sur Delim Timeout (Timeout de s&eacute;paration) ou Delim Wait
(Attente de s&eacute;paration). Le traitement du collecteur ne passe pas &agrave; l'&eacute;tat suivant tant que la
cha&icirc;ne de d&eacute;cision s&eacute;paratrice ne correspond pas aux donn&eacute;es lues et que le nombre minimal
d'octets n'a pas &eacute;t&eacute; re&ccedil;u.
Cette cha&icirc;ne est une expression r&eacute;guli&egrave;re conforme &agrave; la norme POSIX 1003.2.
Sc&eacute;narios des types de r&eacute;ception : il existe quatre sc&eacute;narios possibles selon les types de
r&eacute;ception. Ces sc&eacute;narios sont les suivants :




Sc&eacute;nario de timeout : une fois l'&eacute;tat de r&eacute;ception atteint, le traitement s'arr&ecirc;te jusqu'&agrave; ce que le
nombre minimal d'octets soit lu ou qu'un nombre de secondes indiqu&eacute; par la variable
RX_TIMEOUT_DELAY se soit &eacute;coul&eacute;. Apr&egrave;s que le composant Wizard a re&ccedil;u un nombre
d'octets sup&eacute;rieur &agrave; ce nombre minimal ou que le d&eacute;lai de timeout a expir&eacute;, le processus du
port du collecteur continue jusqu'&agrave; l'&eacute;tat suivant dans le script.
Sc&eacute;nario d'attente : l'&eacute;tat correspondant au type de r&eacute;ception Attente attend que le collecteur
Wizard ait re&ccedil;u le nombre d'octets minimal sp&eacute;cifi&eacute; dans la zone Minimum Bytes (Nombre
d'octets minimal). Une fois que le composant Wizard a re&ccedil;u un nombre d'octets sup&eacute;rieur &agrave; ce
nombre minimal, le processus du port du collecteur continue jusqu'&agrave; l'&eacute;tat suivant dans le
script. Si le nombre d'octets minimal re&ccedil;u n'est pas atteint, le processus du port du collecteur
ne s'arr&ecirc;te pas.
Sc&eacute;nario de timeout de s&eacute;paration : si la cha&icirc;ne de d&eacute;cision s&eacute;paratrice est atteinte apr&egrave;s que le
nombre minimal d'octets d&eacute;fini dans la zone Minimum Bytes (Nombre d'octets minimal) a &eacute;t&eacute;
re&ccedil;u, les donn&eacute;es re&ccedil;ues jusqu'au moment o&ugrave; la cha&icirc;ne s&eacute;paratrice a &eacute;t&eacute; atteinte sont stock&eacute;es
dans le tampon de r&eacute;ception Rx Buffer. Si cette cha&icirc;ne n'est pas atteinte, aucune donn&eacute;e n'est
transmise au tampon de r&eacute;ception et le processus du port du collecteur prend fin une fois le
d&eacute;lai de timeout par d&eacute;faut expir&eacute;.
Sc&eacute;nario d'attente de s&eacute;paration : si la cha&icirc;ne de d&eacute;cision s&eacute;paratrice est atteinte apr&egrave;s que le
nombre minimal d'octets d&eacute;fini dans la zone Minimum Bytes (Nombre d'octets minimal) a &eacute;t&eacute;
re&ccedil;u, le processus du port du collecteur continue de s'ex&eacute;cuter et les donn&eacute;es sont trait&eacute;es
normalement. Tant que cette cha&icirc;ne n'est pas atteinte, aucune donn&eacute;e n'est transmise au
tampon de r&eacute;ception et le processus du port du collecteur ne prend pas fin. Si cette cha&icirc;ne n'est
jamais atteinte, le processus du port du collecteur ne prend jamais fin. De m&ecirc;me, si la cha&icirc;ne
de d&eacute;cision s&eacute;paratrice est atteinte mais que le nombre minimal d'octets requis n'est pas re&ccedil;u,
le processus du port du collecteur ne prend jamais fin.
Pr&eacute;sentation de Wizard
1-7
&Eacute;tat Decide (D&eacute;cider)
L'&eacute;tat Decide (D&eacute;cider) v&eacute;rifie le contenu du tampon ou de la variable de r&eacute;ception et
d&eacute;termine ensuite l'action &agrave; effectuer. Si les informations du tampon de r&eacute;ception contiennent
le type Decide (D&eacute;cider) s&eacute;lectionn&eacute;, le Gestionnaire des collecteurs traite la commande
comme &eacute;tant v&eacute;rifi&eacute;e (true) et la route suivie est la route &laquo; Oui &raquo;. Si le tampon de r&eacute;ception ne
contient pas le type Decide (D&eacute;cider) s&eacute;lectionn&eacute;, le Gestionnaire des collecteurs traite la
commande comme &eacute;tant irrecevable (false) et la route suivie est la route &laquo; Non &raquo;.
Le tampon de r&eacute;ception (taille du tampon Rx Buffer) est un param&egrave;tre modifiable situ&eacute; &agrave;
l'emplacement suivant :
$WORKBENCH_HOME/config/wizard.properties/
system.max_receive_buffer_size
Ce param&egrave;tre vous permet de configurer le tampon de r&eacute;ception du Gestionnaire des
collecteurs (Rx buffer). La valeur par d&eacute;faut est 50 000 &eacute;v&eacute;nements. La valeur minimale est
5 000 &eacute;v&eacute;nements. Lorsque le tampon de r&eacute;ception atteint sa taille maximale, les nouveaux
&eacute;v&eacute;nements entrants sont abandonn&eacute;s au fur et &agrave; mesure de leur r&eacute;ception en raison de la
limitation qui a &eacute;t&eacute; d&eacute;finie.
Il existe quatre types de d&eacute;cision. Ces types sont les suivants :




String (Cha&icirc;ne) : compare une cha&icirc;ne de d&eacute;cision d&eacute;finie par l'utilisateur au contenu re&ccedil;u par
le tampon. Le contenu de la cha&icirc;ne de d&eacute;cision est compar&eacute; au contenu du tampon de
r&eacute;ception ou &agrave; une variable pour d&eacute;terminer la route que les donn&eacute;es re&ccedil;ues doivent suivre.
Cette cha&icirc;ne est une expression r&eacute;guli&egrave;re conforme &agrave; la norme POSIX 1003.2. Une variable
peut contenir des cha&icirc;nes, des entiers ou des valeurs flottantes.
True (Vrai) : force une &eacute;valuation vraie. Le Gestionnaire des collecteurs achemine les
donn&eacute;es vers une route &laquo; Oui &raquo;.
False (Faux) : force une &eacute;valuation fausse. Le Gestionnaire des collecteurs achemine les
donn&eacute;es vers une route &laquo; Non &raquo;.
Data (Donn&eacute;es) : compare une cha&icirc;ne de d&eacute;cision d&eacute;finie par l'utilisateur &agrave; une autre cha&icirc;ne
ou &agrave; la valeur d'une variable.
&Eacute;tat Parse (Analyser)
L'&eacute;tat Parse (Analyser) est utilis&eacute; pour d&eacute;velopper les scripts afin qu'ils puissent ensuite &ecirc;tre
ex&eacute;cut&eacute;s sur les ports. Les commandes d'analyse peuvent inclure des param&egrave;tres qui sont
ensuite fusionn&eacute;s avec le mod&egrave;le voulu lorsque les scripts sont cr&eacute;&eacute;s. Un &eacute;diteur plein &eacute;cran et
un &eacute;diteur de texte sont &agrave; la disposition de l'utilisateur pour d&eacute;finir les commandes d'analyse.
L'&eacute;tat Parse (Analyser) sert &eacute;galement &agrave; ins&eacute;rer des commandes d'analyse dans un mod&egrave;le.
Les commandes d'analyse peuvent comprendre des param&egrave;tres qui sont ensuite remplac&eacute;s par
des valeurs sp&eacute;cifiques lorsque le mod&egrave;le est fusionn&eacute; avec un fichier de param&egrave;tre au cours
du processus de g&eacute;n&eacute;ration du script. La fusion d'un mod&egrave;le et d'un fichier de param&egrave;tre
permet de g&eacute;n&eacute;rer plusieurs scripts &agrave; ex&eacute;cuter sur les ports.
1-8
Guide d'utilisation du composant Wizard de Sentinel
Fichiers de param&egrave;tre
Les param&egrave;tres sont l'&eacute;quivalent des variables. Les fichiers de param&egrave;tre (fichiers .par) sont
des tableaux servant &agrave; d&eacute;finir des noms de variable pour les fichiers de script d'ex&eacute;cution
associ&eacute;s. Ils sont utilis&eacute;s lorsqu'ils sont cit&eacute;s dans le code d'analyse. Ils sont stock&eacute;s sous
forme de cha&icirc;nes. Toute valeur num&eacute;rique doit &ecirc;tre convertie sous forme de cha&icirc;ne pour
pouvoir &ecirc;tre utilis&eacute;e. Lorsque de nouvelles valeurs de param&egrave;tre sont entr&eacute;es, elles
s'appliquent une fois que le script a &eacute;t&eacute; g&eacute;n&eacute;r&eacute;. Ces valeurs sont ensuite int&eacute;gr&eacute;es au fichier de
mod&egrave;le au moment de la cr&eacute;ation du script.
Les noms des fichiers de script d'ex&eacute;cution s'affichent sur la premi&egrave;re ligne du tableau et les
noms des param&egrave;tres, ou &eacute;tiquettes, s'affichent dans la premi&egrave;re colonne. La seconde ligne du
tableau sert &agrave; d&eacute;finir les ic&ocirc;nes qui apparaissent dans l'arborescence du collecteur. Les lignes
suivantes permettent de d&eacute;finir les variables ou les valeurs &agrave; utiliser pour les param&egrave;tres selon
le script concern&eacute;.
Les valeurs d'un fichier de param&egrave;tres peuvent &ecirc;tre :



des balises META, des informations et des commentaires : plus de 200 balises META sont
disponibles, dont la moiti&eacute; sont configurables par l'utilisateur et les autres sont r&eacute;serv&eacute;es ;
des r&egrave;gles : les noms d&eacute;finis pour les fichiers de r&egrave;gle s'affichent sur la ligne d'en-t&ecirc;te du
tableau tandis que les param&egrave;tres s'affichent dans la premi&egrave;re colonne du tableau ;
des topogrammes binaires : la deuxi&egrave;me ligne du tableau d&eacute;finit le topogramme binaire utilis&eacute;
pour ce fichier, topogramme qui appara&icirc;t ensuite dans la liste des collecteurs.
Fichiers de recherche
Les fichiers de recherche (fichiers .lkp) sont des tables facultatives auxquelles les valeurs
re&ccedil;ues sont compar&eacute;es afin de d&eacute;terminer les actions &agrave; entreprendre pour r&eacute;pondre &agrave; des
&eacute;v&eacute;nements de s&eacute;curit&eacute;, le cas &eacute;ch&eacute;ant. Les fichiers de recherche contiennent des clauses de
correspondance qui servent &agrave; comparer des cha&icirc;nes une par une. En fonction des clauses de
correspondance d'un fichier de recherche sp&eacute;cifique et des donn&eacute;es transmises par les
p&eacute;riph&eacute;riques de s&eacute;curit&eacute;, la commande LOOKUP d&eacute;termine si la cha&icirc;ne recherch&eacute;e est
trouv&eacute;e ou pas.
&Eacute;ventuellement, des commandes d'analyse peuvent &ecirc;tre associ&eacute;es &agrave; la cha&icirc;ne recherch&eacute;e. Ces
commandes d'analyse sont ex&eacute;cut&eacute;es si une correspondance est trouv&eacute;e.
Fichiers d'assignation
Les fichiers d'assignation sont des fichiers facultatifs (fichiers .csv) qui permettent une
recherche rapide sur des entr&eacute;es de cl&eacute;. Les fichiers .csv sont des chemins relatifs du
r&eacute;pertoire de script d'un collecteur. La modification de ces fichiers n'est actuellement pas
possible dans le G&eacute;n&eacute;rateur de collecteurs mais elle peut &ecirc;tre effectu&eacute;e &agrave; l'aide de
Microsoft Excel.
Pr&eacute;sentation de Wizard
1-9
Exemple de fichier d'assignation :
~Mois~
Jan
F&eacute;v
Mar
Avr
Mai
Jun
Jul
Ao&ucirc;
Sep
Oct
Nov
D&eacute;c
~Nombre~
1
2
3
4
5
6
7
8
9
10
11
12
Les entr&eacute;es peuvent &ecirc;tre un nombre ind&eacute;fini de variables de script (variables de cha&icirc;ne,
enti&egrave;res ou flottantes) servant &agrave; indiquer les variables o&ugrave; les donn&eacute;es vont &ecirc;tre stock&eacute;es. Dans
l'exemple ci-dessus, le mois est traduit par un nombre (c'est-&agrave;-dire qu'un nombre lui est
assign&eacute;). Ici, le nombre 1 est assign&eacute; au mois de janvier (Jan).
Fichiers de manifeste
Les fichiers de manifeste sont ceux qui permettent de diff&eacute;rencier les versions de
collecteur 5.* des versions de collecteur pr&eacute;c&eacute;dentes. Les fichiers de manifeste prennent en
charge le d&eacute;ploiement des collecteurs, &agrave; partir de la console Sentinel, ainsi que la gestion des
versions de collecteur. L'analyse des collecteurs est d&eacute;finie par le fichier agent.lkp. Il existe
diff&eacute;rents cas de recherche :




Setup : configuration group&eacute;e des variables et des param&egrave;tres.
Check_Setup : v&eacute;rification group&eacute;e des variables et des param&egrave;tres.
Initialize_Vars : d&eacute;but de chaque boucle, o&ugrave; les variables sont initialis&eacute;es une fois par analyse.
Parse : emplacement o&ugrave; l'analyse est effectu&eacute;e.
Ces recherches permettent d'int&eacute;grer de nouvelles analyses de collecteur dans les mod&egrave;les
existants. De plus, elles rendent possible l'installation avec support pack int&eacute;gr&eacute; des nouvelles
versions de l'analyse des collecteurs afin de mettre &agrave; jour le code. Voici une liste des fichiers
de manifeste et de leur contenu pour la version v5.0 :

1-10
agent.nfo
&agrave; product : Snort ;
&agrave; product.vendor : GNU ;
&agrave; product.version : 2.0 ;
&agrave; product.security.type : IDS ;
&agrave; product.sensor.type : N ;
&agrave; product.name : IDSx_GNUx_SNRT ;
&agrave; file.version : 1.
Guide d'utilisation du composant Wizard de Sentinel
Autres r&eacute;f&eacute;rences Sentinel
Les manuels suivants sont disponibles sur les CD-ROM d'installation de Sentinel.






Guide d'installation de Sentinel™
Guide de l'utilisateur de Sentinel™
Guide d'utilisation du composant Wizard de Sentinel™
Guide des r&eacute;f&eacute;rences utilisateur de Sentinel™
Guide d'int&eacute;gration de produits tiers de Sentinel™
Notes de version
Pour contacter Novell





Site Web : http://www.novell.com
Assistance technique Novell : http://www.novell.com/support/index.html
Assistance technique Novell (international) :
http://support.novell.com/phone.html?sourceidint=suplnav4_phonesup
Auto-assistance :
http://support.novell.com/support_options.html?sourceidint=suplnav_supportprog
Pour une assistance 24 heures sur 24, 7 jours sur 7, appelez le 800-858-4000
Pr&eacute;sentation de Wizard
1-11
1-12
Guide d'utilisation du composant Wizard de Sentinel
2
Gestion d'h&ocirc;tes Wizard
REMARQUE : les termes Agent et Collecteur sont interchangeables. Le terme
Collecteur sera utilis&eacute; dans la suite de cette documentation.
Les h&ocirc;tes Wizard sont les machines sur lesquelles le Gestionnaire des collecteurs est install&eacute;.
Ces h&ocirc;tes interagissent avec les machines du G&eacute;n&eacute;rateur de collecteurs et avec Sentinel par
l'interm&eacute;diaire du r&eacute;seau. Selon les donn&eacute;es que les collecteurs re&ccedil;oivent et analysent, les
h&ocirc;tes envoient des alertes &agrave; Sentinel.
Le composant Wizard d&eacute;tecte automatiquement ces h&ocirc;tes sur le r&eacute;seau et les ajoute &agrave; la liste
de l'onglet Wizard Host (H&ocirc;te Wizard). Vous ne pouvez pas ajouter d'h&ocirc;tes manuellement.
Vous pouvez renommer les h&ocirc;tes existants et supprimer ceux qui ne sont plus sur le r&eacute;seau ou
qui ne communiquent plus.
Le G&eacute;n&eacute;rateur de collecteurs r&eacute;cup&egrave;re les messages d'&eacute;tat de sant&eacute; sur les h&ocirc;tes. Si l'un de ces
h&ocirc;tes ne r&eacute;pond pas par un message d'&eacute;tat de sant&eacute;, une croix rouge s'affiche en face de l'h&ocirc;te
concern&eacute; dans l'arborescence des h&ocirc;tes Wizard. Vous pouvez supprimer un h&ocirc;te marqu&eacute; d'une
croix rouge mais ce dernier s'affiche &agrave; nouveau dans l'arborescence des h&ocirc;tes Wizard d&egrave;s que
le G&eacute;n&eacute;rateur de collecteurs d&eacute;tecte une communication en provenance de cet h&ocirc;te. De m&ecirc;me,
si vous supprimez un h&ocirc;te en cours de communication, le message d'&eacute;tat de sant&eacute; &eacute;mis
entra&icirc;ne le r&eacute;affichage de l'h&ocirc;te dans l'arborescence.
Lorsqu'un h&ocirc;te est d&eacute;tect&eacute;, un num&eacute;ro d'identification lui est assign&eacute;.
Les derniers collecteurs disponibles se trouvent sur le CD du Service Pack. Pour plus
d'informations, reportez-vous aux notes de publication accompagnant le Service Pack.
REMARQUE : pour plus d'informations concernant la configuration des collecteurs
de d&eacute;mo, reportez-vous &agrave; la section intitul&eacute;e &laquo; Tester l'installation &raquo; du Guide
d'installation de Sentinel.
Gestion d'h&ocirc;tes Wizard
2-1
R&eacute;cup&eacute;ration de donn&eacute;es du collecteur par un h&ocirc;te
Wizard
Pour permettre &agrave; un h&ocirc;te Wizard (un ordinateur sur lequel le Gestionnaire des collecteurs est
install&eacute;) de recevoir des donn&eacute;es provenant d'un collecteur, vous devez t&eacute;l&eacute;charger ce
collecteur de l'ordinateur o&ugrave; se trouve le G&eacute;n&eacute;rateur de collecteurs vers l'h&ocirc;te Wizard par
l'interm&eacute;diaire d'un port configur&eacute; dans le G&eacute;n&eacute;rateur de collecteurs. Apr&egrave;s qu'un collecteur a
&eacute;t&eacute; t&eacute;l&eacute;charg&eacute; sur un h&ocirc;te, ce dernier est pr&ecirc;t &agrave; recevoir les donn&eacute;es du collecteur.
Chaque h&ocirc;te Wizard peut &ecirc;tre connect&eacute; &agrave; plusieurs ports et peut surveiller les donn&eacute;es
provenant de plusieurs collecteurs. Un h&ocirc;te Wizard peut disposer de ports de collecteurs qui
sont connect&eacute;s &agrave; diff&eacute;rents types de source de donn&eacute;es. Chaque collecteur d'un port d'h&ocirc;te
Wizard doit &ecirc;tre t&eacute;l&eacute;charg&eacute; pour pouvoir &ecirc;tre ex&eacute;cut&eacute;. En outre, les ports fournissent au
Gestionnaire des collecteurs des informations relatives &agrave; l'emplacement des sources
de donn&eacute;es.
Autorisations de l'h&ocirc;te Wizard
Les autorisations de l'h&ocirc;te Wizard peuvent &ecirc;tre administr&eacute;es dans l'onglet Admin du Centre
de contr&ocirc;le Sentinel. Les autorisations utilisateur d'un h&ocirc;te Wizard sont les suivantes :
Nom de l'autorisation
View Collectors
(Affichage
des collecteurs)
Control Collectors
(Contr&ocirc;le des collecteurs)
Collector Administration
(Administration
des collecteurs)
Description
 Affichage de l'onglet Collecteurs dans le Centre de
contr&ocirc;le Sentinel.
 Affichage de l'onglet H&ocirc;tes de l'assistant dans le G&eacute;n&eacute;rateur
des collecteurs.
 M&ecirc;mes autorisations d'acc&egrave;s que l'affichage des collecteurs.
 Autorisation de commande et de contr&ocirc;le des collecteurs
dans le Centre de contr&ocirc;le Sentinel.
 Autorisation de commande et de contr&ocirc;le des collecteurs
dans le G&eacute;n&eacute;rateur de collecteurs Wizard.
 M&ecirc;mes autorisations d'acc&egrave;s que le contr&ocirc;le des collecteurs.
 Dans le G&eacute;n&eacute;rateur de collecteurs, autorisation de
modification et de d&eacute;ploiement.
 Dans le G&eacute;n&eacute;rateur de collecteurs, autorisation de cr&eacute;ation,
de modification, de compilation et de d&eacute;bogage.
 Dans le G&eacute;n&eacute;rateur de collecteurs, autorisation de
t&eacute;l&eacute;chargement des collecteurs.
 Dans le G&eacute;n&eacute;rateur de collecteurs, autorisation d'exportation
des h&ocirc;tes d'assistant.
 Dans le G&eacute;n&eacute;rateur de collecteurs, autorisation d'ajout, de
modification et de suppression des ports.
 Dans le G&eacute;n&eacute;rateur de collecteurs, autorisation de
configuration des options de port.
L'autorisation de commande et de contr&ocirc;le concerne les op&eacute;rations suivantes :




2-2
d&eacute;marrage/arr&ecirc;t des ports un par un ;
d&eacute;marrage/arr&ecirc;t de tous les ports ;
red&eacute;marrage des h&ocirc;tes ;
assignation d'un nouveau nom aux h&ocirc;tes.
Guide d'utilisation du composant Wizard de Sentinel
Gestion d'h&ocirc;te Wizard
Les sujets suivants sont abord&eacute;s dans ce chapitre :










D&eacute;marrage du Gestionnaire
des collecteurs
Arr&ecirc;t du Gestionnaire des collecteurs
Administration du Gestionnaire
des collecteurs
Assignation d'un nouveau nom &agrave; un h&ocirc;te
Suppression d'un h&ocirc;te
Red&eacute;marrage d'un h&ocirc;te
Exportation d'un h&ocirc;te
Affichage des propri&eacute;t&eacute;s de l'h&ocirc;te
Modification d'un fichier de mod&egrave;le
Suppression d'un fichier de mod&egrave;le








Assignation d'un nouveau nom &agrave; un
fichier de recherche
Suppression d'un fichier de recherche
Suppression d'une s&eacute;quence
de d&eacute;marrage
D&eacute;marrage et arr&ecirc;t des ports Wizard
Modification de la configuration d'un
port Wizard
Suppression d'un port Wizard
T&eacute;l&eacute;chargement d'un collecteur
D&eacute;bogage des ports Wizard
D&eacute;marrage et arr&ecirc;t du Gestionnaire des collecteurs
REMARQUE : la premi&egrave;re fois que le G&eacute;n&eacute;rateur de collecteurs Wizard est
ex&eacute;cut&eacute;, le message suivant s'affiche : &laquo; Directory ‘Collectors’ does not exist. &raquo; It
will be automatically created for you. Some information may have been lost. &raquo; (Le
r&eacute;pertoire &laquo; Collecteurs &raquo; n'existe pas. Il sera cr&eacute;&eacute; automatiquement. Des
informations ont peut-&ecirc;tre &eacute;t&eacute; perdues). Cliquez sur OK pour que le r&eacute;pertoire soit
cr&eacute;&eacute; et que le G&eacute;n&eacute;rateur de collecteurs Wizard d&eacute;marre. Si ce message continue de
s'afficher chaque fois que le G&eacute;n&eacute;rateur de collecteurs est ex&eacute;cut&eacute;, il est possible que
le r&eacute;pertoire Collecteur ait &eacute;t&eacute; supprim&eacute; par inadvertance et qu'il faille v&eacute;rifier si des
informations ont &eacute;t&eacute; perdues.
D&eacute;marrage et arr&ecirc;t du Gestionnaire des collecteurs sous Windows
Pour d&eacute;marrer ou arr&ecirc;ter le Gestionnaire des collecteurs sous Windows
1. Cliquez sur D&eacute;marrer &gt; Param&egrave;tres &gt; Panneau de configuration.
2. Dans le Panneau de configuration, double-cliquez sur Outils d'administration et
cliquez sur Services.
3. Dans la bo&icirc;te de dialogue Services, cliquez avec le bouton droit sur Gestionnaire des
collecteurs et s&eacute;lectionnez D&eacute;marrer ou Arr&ecirc;ter.
Gestion d'h&ocirc;tes Wizard
2-3
Pour d&eacute;marrer les services du Gestionnaire des collecteurs sous Windows (ligne
de commande)
1. Acc&eacute;dez au r&eacute;pertoire %WORKBENCH_HOME%.
2. Pour d&eacute;marrer le Gestionnaire des collecteurs :
 ./agent-manager start
 ./agent-manager restart : d&eacute;marre le script du Gestionnaire des collecteurs en
arri&egrave;re-plan et red&eacute;marre automatiquement le processus lorsqu'il s'arr&ecirc;te. Si le
processus agentmanager est en cours d'ex&eacute;cution, il s'arr&ecirc;te et red&eacute;marre.
 ./agent-manager.sh console : d&eacute;marre le processus du Gestionnaire des
collecteurs au premier plan.
REMARQUE : en mode console, assurez-vous de n'ex&eacute;cuter qu'une seule instance
du Gestionnaire des collecteurs sur votre machine.
Pour arr&ecirc;ter les services du Gestionnaire des collecteurs sous Windows (ligne
de commande)
1. Acc&eacute;dez au r&eacute;pertoire %WORKBENCH_HOME%.
2. Pour arr&ecirc;ter le Gestionnaire des collecteurs :
./agent-manager stop
D&eacute;marrage du Gestionnaire des collecteurs sous UNIX (mode standard et
mode console)
Pour d&eacute;marrer le Gestionnaire des collecteurs sous UNIX
1. En tant qu'utilisateur esecadm, acc&eacute;dez au r&eacute;pertoire :
$WORKBENCH_HOME
2. Entrez la commande suivante :
./agent-manager.sh start


./agent-manager.sh restart : d&eacute;marre le script du Gestionnaire des collecteurs en
arri&egrave;re-plan et red&eacute;marre automatiquement le processus lorsqu'il s'arr&ecirc;te. Si le
processus du Gestionnaire des collecteurs est en cours d'ex&eacute;cution, il s'arr&ecirc;te et
red&eacute;marre.
./agent-manager.sh console : d&eacute;marre le processus du Gestionnaire des
collecteurs au premier plan.
Arr&ecirc;t du Gestionnaire des collecteurs sous UNIX
Pour arr&ecirc;ter le Gestionnaire des collecteurs sous UNIX
1. En tant qu'utilisateur esecadm, acc&eacute;dez au r&eacute;pertoire :
$WORKBENCH_HOME
2. Entrez la commande suivante :
./agent-manager.sh stop
2-4
Guide d'utilisation du composant Wizard de Sentinel
Administration du Gestionnaire des collecteurs
Un fichier ex&eacute;cutable sous Windows et un script sous UNIX vous permettent :






d'installer le service du Gestionnaire des collecteurs (Windows uniquement) ;
de supprimer le service du Gestionnaire des collecteurs (Windows uniquement) ;
de configurer le service du Gestionnaire des collecteurs ;
d'imprimer des informations de d&eacute;bogage d&eacute;taill&eacute;es ;
d'afficher la version ;
d'afficher l'aide.
Installation des services du Gestionnaire des collecteurs (Windows uniquement)
Pour installer les services du Gestionnaire des collecteurs (Windows uniquement)l
1. &Agrave; l'invite de commande, acc&eacute;dez au r&eacute;pertoire %workbench_home%.
2. Entrez la commande suivante :
agent-manager.bat -install
3. Pour d&eacute;marrer le service, vous disposez de deux possibilit&eacute;s :
 &Agrave; l'invite de commande, entrez ce qui suit :
net start &laquo; agent manager &raquo;

Cliquez sur D&eacute;marrer &gt; Param&egrave;tres &gt; Panneau de configuration. Doublecliquez sur Services et s&eacute;lectionnez Gestionnaire des collecteurs. D&eacute;marrez le
Gestionnaire des collecteurs.
REMARQUE : si la fen&ecirc;tre des services est d&eacute;j&agrave; ouverte, cliquez sur Action,
s&eacute;lectionnez Rafra&icirc;chir et d&eacute;marrez le Gestionnaire des collecteurs.
Suppression des services du Gestionnaire des collecteurs (Windows uniquement)
Pour supprimer les services du Gestionnaire des collecteurs (Windows uniquement)l
1. Pour arr&ecirc;ter le Gestionnaire des collecteurs, vous disposez de deux possibilit&eacute;s :
 &Agrave; l'invite de commande, entrez ce qui suit :
net stop &laquo; agent manager &raquo;

Cliquez sur D&eacute;marrer &gt; Param&egrave;tres &gt; Panneau de configuration. Doublecliquez sur Services et s&eacute;lectionnez Gestionnaire des collecteurs. Arr&ecirc;tez le
Gestionnaire des collecteurs et fermez la fen&ecirc;tre des services.
2. &Agrave; l'invite de commande, acc&eacute;dez au r&eacute;pertoire %workbench_home%.
3. Entrez la commande suivante :
agent-manager.bat -remove
Gestion d'h&ocirc;tes Wizard
2-5
Changement du mot de passe du Gestionnaire des collecteurs sous Windows
REMARQUE : pour des raisons de conformit&eacute; aux exigences de s&eacute;curit&eacute; impos&eacute;es
par la certification CC (Common Criteria), il est fortement recommand&eacute; de
configurer un mot de passe fort dot&eacute; des caract&eacute;ristiques suivantes :
1. Choisissez un mot de passe comportant au moins 8 caract&egrave;res qui inclut au moins
un caract&egrave;re en MAJUSCULE, un caract&egrave;re en minuscule, un symbole sp&eacute;cial
(!@#$%^&amp;*()_+) et un caract&egrave;re num&eacute;rique (0 &agrave; 9).
2. Votre mot de passe ne peut contenir ni votre adresse de messagerie ni une partie de
votre nom.
3. Votre mot de passe ne doit pas &ecirc;tre un mot courant (par exemple, un mot du
dictionnaire ou un mot d'argot courant).
4. Votre mot de passe ne doit pas contenir de mots d'une langue, quelle qu'elle soit,
car de nombreux programmes de reconnaissance de mots de passe sont capables de
rechercher parmi des millions de combinaisons de mots possibles en
quelques secondes.
5. Choisissez un mot de passe qui soit facile &agrave; m&eacute;moriser tout en &eacute;tant &eacute;labor&eacute;. Par
exemple, Mf1l$a5!A (mon fils a 5 ans) OU J!hb1tE75 (j'habite &agrave; Paris).
Pour changer le mot de passe du Gestionnaire des collecteurs sous Windows
1. &Agrave; l'invite de commande, acc&eacute;dez au r&eacute;pertoire %workbench_home%.
2. Entrez la commande suivante :
ATTENTION : vous ne serez &agrave; aucun moment invit&eacute; &agrave; confirmer votre
nouveau mot de passe ou &agrave; entrer votre ancien mot de passe.
agent-manager.bat –password &lt;nouveau mot de passe&gt;
3. Pour que le mot de passe soit effectivement appliqu&eacute;, proc&eacute;dez de l'une des
fa&ccedil;ons suivantes :
 &Agrave; l'invite de commande, entrez ce qui suit :
net stop &laquo; agent manager &raquo;
net start &laquo; agent manager &raquo;


2-6
Dans le G&eacute;n&eacute;rateur de collecteurs, cliquez avec le bouton droit sur l'ordinateur
h&ocirc;te et s&eacute;lectionnez le red&eacute;marrage de l'h&ocirc;te.
Cliquez sur D&eacute;marrer &gt; Param&egrave;tres &gt; Panneau de configuration. Doublecliquez sur Services et s&eacute;lectionnez Gestionnaire des collecteurs. Arr&ecirc;tez et
red&eacute;marrez les services du Gestionnaire des collecteurs.
Guide d'utilisation du composant Wizard de Sentinel
Changement du mot de passe du Gestionnaire des collecteurs sous UNIX
REMARQUE : pour des raisons de conformit&eacute; aux exigences de s&eacute;curit&eacute; impos&eacute;es
par la certification CC (Common Criteria), il est fortement recommand&eacute; de
configurer un mot de passe fort dot&eacute; des caract&eacute;ristiques suivantes :
1. Choisissez un mot de passe comportant au moins 8 caract&egrave;res qui inclut au moins
un caract&egrave;re en MAJUSCULE, un caract&egrave;re en minuscule, un symbole sp&eacute;cial
(!@#$%^&amp;*()_+) et un caract&egrave;re num&eacute;rique (0 &agrave; 9).
2. Votre mot de passe ne peut contenir ni votre adresse de messagerie ni une partie de
votre nom.
3. Votre mot de passe ne doit pas &ecirc;tre un mot courant (par exemple, un mot du
dictionnaire ou un mot d'argot courant).
4. Votre mot de passe ne doit pas contenir de mots d'une langue, quelle qu'elle soit,
car de nombreux programmes de reconnaissance de mots de passe sont capables de
rechercher parmi des millions de combinaisons de mots possibles en
quelques secondes.
5. Choisissez un mot de passe qui soit facile &agrave; m&eacute;moriser tout en &eacute;tant &eacute;labor&eacute;. Par
exemple, Mf1l$a5!A (mon fils a 5 ans) OU J!hb1tE75 (j'habite &agrave; Paris).
Pour changer le mot de passe du Gestionnaire des collecteurs sous UNIX
1. En tant qu'utilisateur esecadm, acc&eacute;dez au r&eacute;pertoire $WORKBENCH_HOME.
2. Entrez la commande suivante :
ATTENTION : vous ne serez &agrave; aucun moment invit&eacute; &agrave; confirmer votre
nouveau mot de passe ou &agrave; entrer votre ancien mot de passe.
./agent-manager.sh –password &lt;nouveau mot de passe&gt;
3. Pour que le mot de passe soit effectivement appliqu&eacute;, acc&eacute;dez au r&eacute;pertoire
/usr/local/bin et entrez la commande suivante :
./agent-manager.sh -restart
D&eacute;marrage du G&eacute;n&eacute;rateur de collecteurs
Pour d&eacute;marrer le G&eacute;n&eacute;rateur de collecteurs
1. Cliquez sur D&eacute;marrer &gt; Programmes &gt; Sentinel &gt; G&eacute;n&eacute;rateur de collecteurs ou
double-cliquez sur l'ic&ocirc;ne G&eacute;n&eacute;rateur de collecteurs sur le bureau.
2. Selon votre installation, connectez-vous en tant qu'utilisateur esecadm ou sous votre
nom d'authentification Windows.
Gestion d'h&ocirc;tes Wizard
2-7
Assignation d'un nouveau nom &agrave; un h&ocirc;te Wizard
Pour renommer un h&ocirc;te Wizard
1. Dans le G&eacute;n&eacute;rateur de collecteurs (Wizard), cliquez sur l'onglet Wizard Hosts (H&ocirc;tes
Wizard) pour ouvrir le panneau de l'arborescence des h&ocirc;tes Wizard.
2. Dans cette arborescence, cliquez avec le bouton droit sur l'h&ocirc;te &agrave; renommer et
s&eacute;lectionnez Rename Host (Renommer l'h&ocirc;te). Vous pouvez uniquement renommer
un h&ocirc;te actif.
3. Entrez le nouveau nom de l'h&ocirc;te et appuyez sur Entr&eacute;e.
REMARQUE : renommer un h&ocirc;te n'entra&icirc;ne pas de changement au niveau du
num&eacute;ro d'ID qui lui est assign&eacute; au moment de son installation. Ces informations sont
conserv&eacute;es &agrave; l'emplacement suivant :
%WORKBENCH_HOME%\wizard\agents\names.dat.
Suppression d'un h&ocirc;te Wizard
Pour pouvoir supprimer un h&ocirc;te, ce dernier doit d'abord &ecirc;tre supprim&eacute; du r&eacute;seau. Les h&ocirc;tes
qui communiquent sur le r&eacute;seau ne peuvent pas &ecirc;tre supprim&eacute;s. Lorsqu'un h&ocirc;te est pr&eacute;sent sur
le r&eacute;seau mais ne communique plus, une croix rouge s'affiche sur l'ic&ocirc;ne correspondant dans
l'arborescence des h&ocirc;tes Wizard.
Pour supprimer un h&ocirc;te Wizard
1. Cliquez sur l'onglet Wizard Hosts (H&ocirc;tes Wizard) pour ouvrir le panneau de
l'arborescence des h&ocirc;tes Wizard.
2. Dans l'arborescence des h&ocirc;tes Wizard, cliquez avec le bouton droit sur l'h&ocirc;te voulu.
3. Cliquez sur Delete Host (Supprimer l'h&ocirc;te).
Red&eacute;marrage d'un h&ocirc;te Wizard
Pour red&eacute;marrer un h&ocirc;te Wizard
1. Cliquez sur l'onglet Wizard Hosts (H&ocirc;tes Wizard) pour ouvrir le panneau de
l'arborescence des h&ocirc;tes Wizard et s&eacute;lectionner un h&ocirc;te.
2. Cliquez avec le bouton droit sur un h&ocirc;te et cliquez sur Start Ports (D&eacute;marrer les
ports). Vous pouvez uniquement red&eacute;marrer un h&ocirc;te Wizard actif.
Exportation d'un h&ocirc;te Wizard
Pour exporter un h&ocirc;te Wizard
1. Cliquez sur l'onglet Wizard Hosts (H&ocirc;tes Wizard) pour ouvrir le panneau de
l'arborescence des h&ocirc;tes Wizard. S&eacute;lectionnez un h&ocirc;te.
2. Cliquez sur Fichier et s&eacute;lectionnez Export Host (Exporter l'h&ocirc;te). Le sous-r&eacute;pertoire
suivant est cr&eacute;&eacute; :
%WORKBENCH_HOME%\upload_&lt;nom de l'h&ocirc;te&gt;
Ce sous-r&eacute;pertoire peut &ecirc;tre d&eacute;plac&eacute; vers une machine distante &agrave; l'aide de Secure Shell
(SSH) ou d'un disque. Une fois le sous-r&eacute;pertoire plac&eacute; sur la machine distante, ex&eacute;cutez
la commande uploadhost. Cette op&eacute;ration entra&icirc;ne la copie des fichiers n&eacute;cessaires dans
les r&eacute;pertoires appropri&eacute;s.
2-8
Guide d'utilisation du composant Wizard de Sentinel
REMARQUE : si les param&egrave;tres SNMP ont &eacute;t&eacute; chang&eacute;s, le G&eacute;n&eacute;rateur de
collecteurs n'est plus en mesure de communiquer avec la machine distante entre le
moment o&ugrave; vous cliquez sur le bouton Exporter et celui o&ugrave; le t&eacute;l&eacute;chargement des
fichiers du collecteur export&eacute; prend fin.
Affichage des propri&eacute;t&eacute;s de l'h&ocirc;te Wizard
Pour afficher les propri&eacute;t&eacute;s de l'h&ocirc;te Wizard
1. Cliquez sur l'onglet Wizard Hosts (H&ocirc;tes Wizard) pour ouvrir le panneau de
l'arborescence des h&ocirc;tes Wizard.
2. Dans cette arborescence, cliquez avec le bouton droit sur l'h&ocirc;te voulu et s&eacute;lectionnez
Propri&eacute;t&eacute;s. La fen&ecirc;tre des propri&eacute;t&eacute;s de l'h&ocirc;te Wizard contient les informations
suivantes :
 Nom
 ID
 Nom d'h&ocirc;te
 Adresse IP
 Version
 Temps de fonctionnement
3. Cliquez sur OK pour fermer la fen&ecirc;tre des propri&eacute;t&eacute;s.
REMARQUE : si l'h&ocirc;te n'est pas en cours d'ex&eacute;cution, une fen&ecirc;tre indiquant qu'il ne
r&eacute;pond pas s'affiche lorsque vous s&eacute;lectionnez Propri&eacute;t&eacute;s.
Modification d'un fichier de mod&egrave;le
Pour modifier un fichier de mod&egrave;le
1. Cliquez sur l'onglet Collecteurs pour ouvrir le panneau de l'arborescence
des collecteurs.
2. Dans l'arborescence des collecteurs, cliquez sur un mod&egrave;le, puis sur l'onglet
Template Editor (&Eacute;diteur de mod&egrave;les).
Gestion d'h&ocirc;tes Wizard
2-9
3. Dans Template Editor (&Eacute;diteur de mod&egrave;les), cliquez sur l'&eacute;tat voulu et effectuez vos
modifications. Vous pouvez modifier un &eacute;tat &agrave; l'aide de l'&eacute;diteur plein &eacute;cran ou de
l'&eacute;diteur de texte. Pour plus d'informations sur les commandes d'analyse, reportezvous au Guide des r&eacute;f&eacute;rences utilisateur de Sentinel.
Suppression d'un fichier de mod&egrave;le
Pour supprimer un fichier de mod&egrave;le
1. Cliquez sur l'onglet Collecteurs pour ouvrir le panneau de l'arborescence
des collecteurs.
2. Dans l'arborescence des collecteurs, cliquez avec le bouton droit sur un mod&egrave;le et
s&eacute;lectionnez Supprimer le mod&egrave;le.
Assignation d'un nouveau nom &agrave; un fichier de recherche
Pour renommer un fichier de recherche
1. Cliquez sur l'onglet Collecteurs pour ouvrir le panneau de l'arborescence
des collecteurs.
2. Cliquez avec le bouton droit sur un fichier de recherche et s&eacute;lectionnez Rename
Lookup File (Renommer le fichier de recherche).
2-10
Guide d'utilisation du composant Wizard de Sentinel
3. Tapez le nouveau nom et appuyez sur Entr&eacute;e.
Suppression d'un fichier de recherche
Pour supprimer un fichier de recherche
1. Cliquez sur l'onglet Collecteurs pour ouvrir le panneau de l'arborescence
des collecteurs.
2. Cliquez avec le bouton droit sur un fichier de recherche et s&eacute;lectionnez Delete
Lookup File (Supprimer le fichier de recherche).
Suppression d'un script
Pour supprimer un script
1. Vous pouvez supprimer un script de deux fa&ccedil;ons diff&eacute;rentes :
 Dans l'arborescence des collecteurs, cliquez avec le bouton droit sur un script et
s&eacute;lectionnez Supprimer.
 Cliquez avec le bouton droit sur le script voulu dans les colonnes Startup Scripts
(Scripts de d&eacute;marrage) ou Backout Scripts (Scripts de retour &agrave; l'&eacute;tat ant&eacute;rieur) et
s&eacute;lectionnez Delete Script (Supprimer le script).
Suppression d'une s&eacute;quence de d&eacute;marrage
Pour supprimer une s&eacute;quence de d&eacute;marrage
1. Dans le panneau Startup Scripts (Scripts de d&eacute;marrage), s&eacute;lectionnez une s&eacute;quence
de d&eacute;marrage dans le menu d&eacute;roulant afin que son nom apparaisse dans la zone
Startup Scripts (Scripts de d&eacute;marrage).
2. Cliquez avec le bouton droit sur un script dans l'arborescence des collecteurs et
s&eacute;lectionnez Delete Current Startup Sequence (Supprimer la s&eacute;quence de d&eacute;marrage
actuelle). La s&eacute;quence de d&eacute;marrage est supprim&eacute;e de la liste des scripts
de d&eacute;marrage.
REMARQUE : si vous supprimez la s&eacute;quence de d&eacute;marrage par d&eacute;faut, tous les
scripts qui lui sont assign&eacute;s sont supprim&eacute;s de la colonne Startup Scripts (Scripts de
d&eacute;marrage). En revanche, la s&eacute;quence par d&eacute;faut continue de s'afficher dans le menu
Startup Sequences (S&eacute;quences de d&eacute;marrage).
Ports Wizard
Cette section traite de l'arr&ecirc;t, du d&eacute;marrage, de la modification de configuration, de la
suppression et du d&eacute;bogage d'un port Wizard.
Gestion d'h&ocirc;tes Wizard
2-11
D&eacute;marrage et arr&ecirc;t d'un port Wizard (interface utilisateur graphique)
Selon que le collecteur d&eacute;marre ou s'arr&ecirc;te, le bouton affich&eacute; dans la colonne
D&eacute;marrer/Arr&ecirc;ter change. Si vous travaillez avec un collecteur distant, ce changement de
bouton ne se fait pas tant que l'&eacute;tat du collecteur n'a pas &eacute;t&eacute; d&eacute;tect&eacute;.
Le d&eacute;marrage ou l'arr&ecirc;t d'un port entra&icirc;ne l'ex&eacute;cution du script du d&eacute;marrage et de retour &agrave;
l'&eacute;tat ant&eacute;rieur s&eacute;lectionn&eacute;s.
Lorsque vous d&eacute;marrez tous les ports, un port ne d&eacute;marre que si la case Run Port at Startup
(Ex&eacute;cuter le port au d&eacute;marrage) est coch&eacute;e dans la bo&icirc;te de dialogue Other Port Options
(Autres options de port) du menu Options.
Pour d&eacute;marrer et arr&ecirc;ter tous les ports Wizard
1. Dans la fen&ecirc;tre Wizard :
 Pour arr&ecirc;ter tous les ports, cliquez sur le bouton Arr&ecirc;ter dans la barre d'outils.
 Pour d&eacute;marrer tous les ports, cliquez sur le bouton D&eacute;marrer dans la
barre d'outils.
Pour d&eacute;marrer et arr&ecirc;ter les ports Wizard un par un
1. Dans la fen&ecirc;tre Wizard :
 Pour arr&ecirc;ter un port, cliquez sur le bouton Arr&ecirc;t dans la colonne
D&eacute;marrer/Arr&ecirc;ter correspondant au port.
 Pour d&eacute;marrer un port, cliquez sur le bouton D&eacute;marrer dans la colonne
D&eacute;marrer/Arr&ecirc;ter correspondant au port.
Modification de la configuration d'un port Wizard
Si vous modifiez la configuration d'un port en cours d'ex&eacute;cution, le port s'arr&ecirc;te. Pour &eacute;viter
de perdre des donn&eacute;es, arr&ecirc;tez manuellement le port avant d'en modifier la configuration.
Pour modifier la configuration d'un port Wizard
1. Arr&ecirc;tez le port de l'h&ocirc;te voulu.
2. Suivez les instructions relatives &agrave; la cr&eacute;ation d'un port Wizard &eacute;nonc&eacute;es au
chapitre 3. La nouvelle configuration &eacute;crase la configuration existante lorsque vous
enregistrez ou que vous t&eacute;l&eacute;chargez le port.
2-12
Guide d'utilisation du composant Wizard de Sentinel
Suppression d'un port Wizard
Pour supprimer un port Wizard
1. Arr&ecirc;tez le port.
2. Dans le panneau Port Information (Informations de port) du G&eacute;n&eacute;rateur de
collecteurs, cliquez avec le bouton droit sur un port et s&eacute;lectionnez Delete Port
(Supprimer le port). Tous les ports affich&eacute;s sous ce port supprim&eacute; s'arr&ecirc;tent
automatiquement.
3. Vous pouvez effectuer cette suppression localement ou &agrave; distance :
 H&ocirc;te local : cliquez sur Fichier, Enregistrer et s&eacute;lectionnez Port Information
(Informations de port).
 H&ocirc;te distant : cliquez sur Fichier et sur Upload/Download (T&eacute;l&eacute;charger).
D&eacute;bogage d'un port Wizard
L'outil Debugger (D&eacute;bogueur) vous permet de r&eacute;soudre les erreurs de code du collecteur
s'ex&eacute;cutant sur un port. La partie gauche du panneau Debugger (D&eacute;bogueur) contient les
scripts d'&eacute;tat. La partie droite du panneau contient les variables des scripts et du tampon de
r&eacute;ception (Rx Buffer), dont les noms peuvent comprendre jusqu'&agrave; 32 caract&egrave;res.
Pour que le d&eacute;bogueur soit actif, le premier de vos &eacute;tats doit &ecirc;tre un &eacute;tat d'analyse et des
commandes Breakpoint() (point d'interruption) doivent &ecirc;tre pr&eacute;sentes.
Lors du d&eacute;bogage, attendez que le tampon de r&eacute;ception Rx Buffer soit mis &agrave; jour pour activer
une autre fonction.
REMARQUE : si le Gestionnaire des collecteurs n'est plus connect&eacute; (
pouvez pas d&eacute;boguer un port de l'h&ocirc;te correspondant.
), vous ne
Gestion d'h&ocirc;tes Wizard
2-13
Pour d&eacute;bogueur un port Wizard
1. Dans Template Editor (&Eacute;diteur de mod&egrave;les), s&eacute;lectionnez l'onglet Debugger
(D&eacute;bogueur) du panneau de modification pour acc&eacute;der &agrave; la fonctionnalit&eacute; de
d&eacute;bogage. Un panneau vide s'affiche avec une liste d&eacute;roulante dans laquelle vous
pouvez s&eacute;lectionner le port Wizard que vous voulez d&eacute;boguer.
Si vous cliquez sur l'onglet Wizard Hosts (H&ocirc;tes Wizard), l'indication Debug (D&eacute;boguer)
est affich&eacute;e en face du port en cours de d&eacute;bogage pour indiquer son &eacute;tat.
2. Dans la liste d&eacute;roulante, s&eacute;lectionnez un port et d&eacute;marrez le processus de d&eacute;bogage.
Vous pouvez d&eacute;boguer le port de deux mani&egrave;res diff&eacute;rentes :
 Appuyez sur F6 pour ex&eacute;cuter les commandes l'une apr&egrave;s l'autre ou cliquez sur
Execute One Command (Ex&eacute;cuter une commande).

Pour reprendre l'ex&eacute;cution du script, cliquez &agrave; nouveau sur le bouton ou
r&eacute;appuyez sur F6.
Appuyez sur F7 pour ex&eacute;cuter les commandes l'une apr&egrave;s l'autre ou cliquez sur
Resume Command Execution (Reprendre l'ex&eacute;cution de la commande).
Appuyez sur F5 pour interrompre l'ex&eacute;cution ou cliquez sur le bouton Pause
Command Execution (Interrompre l'ex&eacute;cution de la commande).
L'ex&eacute;cution de la commande est donc interrompue jusqu'&agrave; ce que vous appuyiez
sur F7 ou que vous cliquiez sur Resume Command Execution (Reprendre
l'ex&eacute;cution de la commande).
Le d&eacute;bogueur marque une pause &agrave; tous les points d'interruption mais continue de
s'ex&eacute;cuter. L'&eacute;tat du port est d&eacute;fini sur Actif.
En mode d&eacute;bogage, aucun &eacute;v&eacute;nement n'est envoy&eacute; lors des interruptions d'ex&eacute;cution.
Lorsque l'analyseur est ferm&eacute;, ces boutons sont gris&eacute;s et la liste d&eacute;roulante est d&eacute;finie sur
&laquo; No Port is being Debugged &raquo; (Aucun port en cours de d&eacute;bogage).
Le d&eacute;bogueur ne met pas fin &agrave; une interruption d'ex&eacute;cution. Par cons&eacute;quent, si vous
d&eacute;boguez un analyseur ayant atteint une commande d'interruption (PAUSE), l'action
correspondant &agrave; un clic sur le bouton Arr&ecirc;ter ou le bouton Step (Pas &agrave; pas) ne s'applique
pas tant que l'interruption n'a pas pris fin.
2-14
Guide d'utilisation du composant Wizard de Sentinel
T&eacute;l&eacute;chargement de collecteurs et d'h&ocirc;tes
La fen&ecirc;tre Upload/Download (T&eacute;l&eacute;chager) dispose de trois onglets :



Hosts (H&ocirc;tes) : t&eacute;l&eacute;chargement de chaque configuration de port et de chaque ensemble de
collecteurs vers les h&ocirc;tes indiqu&eacute;s. Les h&ocirc;tes de destination conservent leur configuration
de port et leur ensemble de collecteurs.
Collecteurs : t&eacute;l&eacute;chargement des collecteurs un par un.
Populate Network (Propager &agrave; tout le r&eacute;seau) : t&eacute;l&eacute;chargement de la configuration de port
et des collecteurs d'un seul h&ocirc;te vers tous les h&ocirc;tes s&eacute;lectionn&eacute;s. Ces derniers sont alors
dot&eacute;s de la m&ecirc;me configuration de port et du m&ecirc;me ensemble de collecteurs que
l'h&ocirc;te source.
Lors du t&eacute;l&eacute;chargement, la configuration de port d'un collecteur distant s'applique &agrave; l'h&ocirc;te
local s&eacute;lectionn&eacute; pour recevoir le t&eacute;l&eacute;chargement et tout collecteur de l'h&ocirc;te distant qui porte
le m&ecirc;me nom qu'un collecteur de l'h&ocirc;te local est &eacute;cras&eacute;.
T&eacute;l&eacute;chargement d'un collecteur vers un seul h&ocirc;te
Pour t&eacute;l&eacute;charger un collecteur vers un seul h&ocirc;te
1. Si votre collecteur est d&eacute;j&agrave; correctement configur&eacute; et que vous avez g&eacute;n&eacute;r&eacute; votre
script, vous pouvez ignorer les &eacute;tapes 2 &agrave; 11.
2. Cliquez sur l'onglet Wizard Hosts (H&ocirc;tes Wizard) et s&eacute;lectionnez un h&ocirc;te.
3. Dans la colonne Port Name (Nom du port), double-cliquez sur Nouveau... et entrez
un nom de votre choix.
4. Dans la colonne Collecteur, s&eacute;lectionnez un collecteur.
5. Configurez le collecteur en respectant les indications de la documentation du
collecteur (%WORKBENCH_HOME%\Elements\&lt;nom du
collecteur&gt;\docs\&lt;nom du fichier&gt;.pdf).
6. Cliquez sur l'onglet Collecteurs, d&eacute;veloppez le nœud Collecteur et s&eacute;lectionnez le
fichier de mod&egrave;le.
7. &Agrave; droite, cliquez sur l'onglet Param&egrave;tres.
8. D&eacute;finissez les valeurs des param&egrave;tres en fonction des indications de la
documentation du collecteur.
9. (Facultatif) Si vous souhaitez que ce collecteur ne s'ex&eacute;cute pas au d&eacute;marrage ou
qu'il se fie &agrave; l'heure indiqu&eacute;e par le p&eacute;riph&eacute;rique, cliquez sur l'onglet Wizard Host
(H&ocirc;te Wizard), cliquez avec le bouton droit sur le port Wizard voulu, s&eacute;lectionnez
Other Port Options (Autres options de port) et d&eacute;cochez la case Run Port At Startup
(Ex&eacute;cuter le port au d&eacute;marrage) ou cochez la case Trust Device Time (Se fier &agrave;
l'heure du p&eacute;riph&eacute;rique). Cliquez sur OK.
Gestion d'h&ocirc;tes Wizard
2-15
10. Cliquez sur Enregistrer.
11. Cliquez sur l'onglet Collecteurs, cliquez avec le bouton droit sur le fichier de mod&egrave;le
souhait&eacute; et s&eacute;lectionnez Build Script (G&eacute;n&eacute;rer un script).
12. Proc&eacute;dez de l'une des fa&ccedil;ons suivantes :
 Cliquez sur Fichier et s&eacute;lectionnez Upload/Download (T&eacute;l&eacute;charger).
 Cliquez avec le bouton droit sur le collecteur puis s&eacute;lectionnez Upload Collector
(T&eacute;l&eacute;charger le collecteur).
 Cliquez sur le bouton Upload/Download (T&eacute;l&eacute;charger) :
La fen&ecirc;tre Upload/Download (T&eacute;l&eacute;charger) s'ouvre.
13. Dans la fen&ecirc;tre Upload/Download (T&eacute;l&eacute;charger), cliquez sur l'onglet Collecteurs.
14. Dans la liste d&eacute;roulante, s&eacute;lectionnez le collecteur que vous souhaitez t&eacute;l&eacute;charger.
15. Cliquez sur Upload (T&eacute;l&eacute;charger). La premi&egrave;re fois que vous effectuez cette
op&eacute;ration, le mot de passe du Gestionnaire des collecteurs vous sera demand&eacute;, m&ecirc;me
s'il s'agit d'un h&ocirc;te Wizard local. La fen&ecirc;tre indiquant la progression du
t&eacute;l&eacute;chargement s'ouvre et affiche l'avancement du transfert en cours.
REMARQUE: vous pouvez vous servir de cette fen&ecirc;tre de progression du
t&eacute;l&eacute;chargement pour red&eacute;marrer les h&ocirc;tes une fois le t&eacute;l&eacute;chargement termin&eacute;.
T&eacute;l&eacute;chargement d'un collecteur vers plusieurs h&ocirc;tes
Pour t&eacute;l&eacute;charger un collecteur vers plusieurs h&ocirc;tes
ATTENTION : si vous t&eacute;l&eacute;chargez un h&ocirc;te dont un collecteur porte le m&ecirc;me nom
qu'un collecteur de l'h&ocirc;te local, le collecteur de l'h&ocirc;te distant est &eacute;cras&eacute; sans que vous
en soyez averti.
1. Si votre collecteur est d&eacute;j&agrave; correctement configur&eacute; et que vous avez g&eacute;n&eacute;r&eacute; votre
script, vous pouvez ignorer les &eacute;tapes 2 &agrave; 11.
2. Cliquez sur l'onglet Wizard Hosts (H&ocirc;tes Wizard) et s&eacute;lectionnez un h&ocirc;te.
3. Dans la colonne Port Name (Nom du port), double-cliquez sur Nouveau... et entrez
un nom de votre choix.
4. Dans la colonne Collecteur, s&eacute;lectionnez un collecteur.
5. Configurez le collecteur en respectant les indications de la documentation du
collecteur (%WORKBENCH_HOME%\Elements\&lt;nom du
collecteur&gt;\docs\&lt;nom du fichier&gt;.pdf).
6. Cliquez sur l'onglet Collecteurs, d&eacute;veloppez le nœud Collecteur et s&eacute;lectionnez le
fichier de mod&egrave;le.
7. &Agrave; droite, cliquez sur l'onglet Param&egrave;tres.
8. D&eacute;finissez les valeurs des param&egrave;tres en fonction des indications de la
documentation du collecteur.
9. (Facultatif) Si vous souhaitez que ce collecteur ne s'ex&eacute;cute pas au d&eacute;marrage ou
qu'il se fie &agrave; l'heure indiqu&eacute;e par le p&eacute;riph&eacute;rique, cliquez sur l'onglet Wizard Host
(H&ocirc;te Wizard), cliquez avec le bouton droit sur le port Wizard voulu, s&eacute;lectionnez
Other Port Options (Autres options de port) et d&eacute;cochez la case Run Port At Startup
(Ex&eacute;cuter le port au d&eacute;marrage) ou cochez la case Trust Device Time (Se fier &agrave; l'heure
du p&eacute;riph&eacute;rique). Cliquez sur OK.
2-16
Guide d'utilisation du composant Wizard de Sentinel
10. Cliquez sur Enregistrer.
11. Cliquez sur l'onglet Collecteurs pour ouvrir le panneau de l'arborescence
des collecteurs.
12. Cliquez sur un collecteur.
13. Proc&eacute;dez de l'une des fa&ccedil;ons suivantes :
 Cliquez sur Fichier et s&eacute;lectionnez Upload/Download (T&eacute;l&eacute;charger).
 Cliquez avec le bouton droit sur le collecteur puis s&eacute;lectionnez Upload Collector
(T&eacute;l&eacute;charger le collecteur).
 Cliquez sur le bouton Upload/Download (T&eacute;l&eacute;charger) :
La fen&ecirc;tre Upload/Download (T&eacute;l&eacute;charger) s'ouvre.
14. Dans la fen&ecirc;tre Upload/Download (T&eacute;l&eacute;charger), cliquez sur l'onglet Hosts (H&ocirc;tes) et
cochez ou d&eacute;cochez la case Upload Collectors When Uploading (T&eacute;l&eacute;charger les
collecteurs lors du t&eacute;l&eacute;chargement vers l'h&ocirc;te).
Lorsque cette case est coch&eacute;e, les collecteurs s&eacute;lectionn&eacute;s dans l'onglet Collecteurs sont
t&eacute;l&eacute;charg&eacute;s. Par d&eacute;faut, cette case est coch&eacute;e. Cette option ne s'applique pas lors d'une
r&eacute;cup&eacute;ration de collecteurs &agrave; partir d'un h&ocirc;te distant.
15. Dans la liste, s&eacute;lectionnez les h&ocirc;tes Wizard vers lesquels vous souhaitez t&eacute;l&eacute;charger
les collecteurs.
Tous les h&ocirc;tes Wizard du r&eacute;seau sont automatiquement inclus dans la liste. Des boutons
sp&eacute;cifiques indiquent si la machine de l'h&ocirc;te est en ligne ou pas.
Cliquez sur S&eacute;lectionner tout pour s&eacute;lectionner l'int&eacute;gralit&eacute; des h&ocirc;tes Wizard de la liste.
Cliquez sur Select None (D&eacute;s&eacute;lectionner tout) pour n'en s&eacute;lectionner aucun.
16. Cliquez sur Upload (T&eacute;l&eacute;charger) pour t&eacute;l&eacute;charger les collecteurs s&eacute;lectionn&eacute;s vers le
ou les h&ocirc;tes s&eacute;lectionn&eacute;s. La premi&egrave;re fois que vous effectuez cette op&eacute;ration, le mot
de passe du Gestionnaire des collecteurs vous sera demand&eacute;, m&ecirc;me s'il s'agit d'un
h&ocirc;te Wizard local.
T&eacute;l&eacute;chargement d'un h&ocirc;te
Pour t&eacute;l&eacute;charger un h&ocirc;te
ATTENTION : si vous t&eacute;l&eacute;chargez un h&ocirc;te dont un collecteur porte le m&ecirc;me
nom qu'un collecteur de l'h&ocirc;te local, le collecteur de l'h&ocirc;te local est &eacute;cras&eacute;
sans que vous en soyez averti.
1. Cliquez sur l'onglet Wizard Hosts (H&ocirc;tes Wizard) pour ouvrir le panneau de
l'arborescence des h&ocirc;tes.
2. Dans cette arborescence, cliquez sur l'h&ocirc;te que vous souhaitez r&eacute;cup&eacute;rer.
3. Proc&eacute;dez de l'une des fa&ccedil;ons suivantes :
 Cliquez sur Fichier et s&eacute;lectionnez Upload/Download (T&eacute;l&eacute;charger).
 Cliquez avec le bouton droit sur le collecteur puis s&eacute;lectionnez Upload Collector
(T&eacute;l&eacute;charger le collecteur).
 Cliquez sur le bouton Upload/Download (T&eacute;l&eacute;charger) :
La fen&ecirc;tre Upload/Download (T&eacute;l&eacute;charger) s'ouvre. Le collecteur s&eacute;lectionn&eacute; est coch&eacute;
par d&eacute;faut.
Gestion d'h&ocirc;tes Wizard
2-17
4. Cliquez sur Download (T&eacute;l&eacute;charger). La premi&egrave;re fois que vous effectuez cette
op&eacute;ration, le mot de passe du Gestionnaire des collecteurs vous sera demand&eacute;, m&ecirc;me
s'il s'agit d'un h&ocirc;te Wizard local. L'h&ocirc;te est t&eacute;l&eacute;charg&eacute; et ajout&eacute; &agrave; l'arborescence des
h&ocirc;tes Wizard. La fen&ecirc;tre indiquant la progression du t&eacute;l&eacute;chargement s'ouvre et
affiche l'avancement du transfert en cours.
REMARQUE: vous pouvez vous servir de cette fen&ecirc;tre de progression du
t&eacute;l&eacute;chargement pour red&eacute;marrer les h&ocirc;tes une fois le t&eacute;l&eacute;chargement termin&eacute;.
REMARQUE : vous ne pouvez t&eacute;l&eacute;charger qu'un seul h&ocirc;te &agrave; la fois. Si vous
s&eacute;lectionnez plusieurs h&ocirc;tes, les t&eacute;l&eacute;chargements ne d&eacute;marrent pas.
T&eacute;l&eacute;chargement des collecteurs &agrave; partir d'un seul h&ocirc;te
Pour t&eacute;l&eacute;charger des collecteurs &agrave; partir d'un seul h&ocirc;te
1. Proc&eacute;dez de l'une des fa&ccedil;ons suivantes :
 Cliquez sur Fichier et s&eacute;lectionnez Upload/Download (T&eacute;l&eacute;charger).
 Cliquez sur le bouton Upload/Download (T&eacute;l&eacute;charger) :
La fen&ecirc;tre Upload/Download (T&eacute;l&eacute;charger) s'ouvre.
2. Dans la liste, s&eacute;lectionnez l'h&ocirc;te Wizard &agrave; partir duquel vous souhaitez t&eacute;l&eacute;charger
les collecteurs.
Tous les h&ocirc;tes Wizard du r&eacute;seau sont automatiquement inclus dans la liste. Des boutons
sp&eacute;cifiques indiquent si la machine de l'h&ocirc;te est en ligne ou pas.
Cliquez sur S&eacute;lectionner tout pour s&eacute;lectionner l'int&eacute;gralit&eacute; des h&ocirc;tes Wizard de la liste.
Cliquez sur Select None (D&eacute;s&eacute;lectionner tout) pour n'en s&eacute;lectionner aucun.
3. Cliquez sur Download (T&eacute;l&eacute;charger) pour t&eacute;l&eacute;charger les collecteurs &agrave; partir des
h&ocirc;tes s&eacute;lectionn&eacute;s.
T&eacute;l&eacute;chargement de ports vers plusieurs h&ocirc;tes
Pour t&eacute;l&eacute;charger des ports vers plusieurs h&ocirc;tes
1. Proc&eacute;dez de l'une des fa&ccedil;ons suivantes :
 Cliquez sur Fichier et s&eacute;lectionnez Upload/Download (T&eacute;l&eacute;charger).
2.
3.
4.
5.
2-18
 Cliquez sur le bouton Upload/Download (T&eacute;l&eacute;charger) :
La fen&ecirc;tre Upload/Download (T&eacute;l&eacute;charger) s'ouvre.
Dans la fen&ecirc;tre Upload/Download (T&eacute;l&eacute;charger), cliquez sur l'onglet Populate
Network (Propager &agrave; tout le r&eacute;seau).
Dans la liste intitul&eacute;e &laquo; Select which host’s port configuration and Collectors you
would like to upload &raquo; (S&eacute;lectionnez l'h&ocirc;te dont vous souhaitez t&eacute;l&eacute;charger la
configuration de port et les collecteurs), s&eacute;lectionnez l'h&ocirc;te dont vous voulez
t&eacute;l&eacute;charger les param&egrave;tres de configuration de port et les collecteurs.
Dans la liste intitul&eacute;e &laquo; Select hosts you would like to upload this configuration to &raquo;
(S&eacute;lectionnez les h&ocirc;tes vers lesquels vous souhaitez t&eacute;l&eacute;charger cette configuration),
s&eacute;lectionnez l'h&ocirc;te vers lequel vous voulez t&eacute;l&eacute;charger les param&egrave;tres s&eacute;lectionn&eacute;s.
Guide d'utilisation du composant Wizard de Sentinel
Tous les h&ocirc;tes Wizard du r&eacute;seau sont automatiquement inclus dans la liste. Des boutons
sp&eacute;cifiques indiquent si la machine de l'h&ocirc;te est en ligne ou pas.
Cliquez sur S&eacute;lectionner tout pour s&eacute;lectionner l'int&eacute;gralit&eacute; des h&ocirc;tes Wizard de la liste.
Cliquez sur Select None (D&eacute;s&eacute;lectionner tout) pour n'en s&eacute;lectionner aucun.
T&eacute;l&eacute;chargement de plusieurs collecteurs vers un r&eacute;seau
Pour t&eacute;l&eacute;charger plusieurs collecteurs vers un r&eacute;seau
1. Dans la fen&ecirc;tre Wizard principale, s&eacute;lectionnez un collecteur dans l'arborescence
des collecteurs.
2. Proc&eacute;dez de l'une des fa&ccedil;ons suivantes :
 Cliquez sur Fichier et s&eacute;lectionnez Upload/Download (T&eacute;l&eacute;charger).
 Cliquez avec le bouton droit sur le collecteur puis s&eacute;lectionnez Upload Collector
(T&eacute;l&eacute;charger le collecteur).
 Cliquez sur le bouton Upload/Download (T&eacute;l&eacute;charger) :
3. S&eacute;lectionnez l'onglet Populate Network (Propager &agrave; tout le r&eacute;seau).
4. Dans le menu d&eacute;roulant de la premi&egrave;re zone de s&eacute;lection, s&eacute;lectionnez l'h&ocirc;te dont
vous souhaitez t&eacute;l&eacute;charger la configuration de port et les collecteurs.
5. Dans le menu d&eacute;roulant de la deuxi&egrave;me zone de s&eacute;lection, s&eacute;lectionnez les h&ocirc;tes vers
lesquels vous souhaitez t&eacute;l&eacute;charger la configuration.
REMARQUE: au moins un &eacute;l&eacute;ment doit &ecirc;tre s&eacute;lectionn&eacute; dans l'une des zones de
s&eacute;lection si vous voulez pouvoir t&eacute;l&eacute;charger la configuration de l'&eacute;l&eacute;ment concern&eacute;.
Vous pouvez s&eacute;lectionner un collecteur diff&eacute;rent selon le menu d&eacute;roulant. Chaque
collecteur s&eacute;lectionn&eacute; dans la liste principale r&eacute;cup&egrave;re la configuration de port et les
collecteurs de l'h&ocirc;te s&eacute;lectionn&eacute; dans la zone intitul&eacute;e
&laquo; S&eacute;lectionnez l'h&ocirc;te dont vous souhaitez t&eacute;l&eacute;charger la configuration de port et les
collecteurs &raquo;, sauf si Select None (Tout d&eacute;s&eacute;lectionn&eacute;) est d&eacute;fini.
6. Lorsque vous avez termin&eacute; de param&eacute;trer la configuration du r&eacute;seau, cliquez sur le
bouton Upload (T&eacute;l&eacute;charger) pour d&eacute;marrer le processus de transfert.
Gestion d'h&ocirc;tes Wizard
2-19
Mise &agrave; niveau des collecteurs
Pour mettre &agrave; niveau les collecteurs
1. Prenez connaissance de la documentation qui accompagne le nouveau collecteur et
qui en d&eacute;crit les modifications.
2. Installez la nouvelle version du collecteur dans le r&eacute;pertoire
%workbench_home%/Elements sur l'ordinateur principal choisi pour le collecteur.
3. Ouvrez le fichier de param&egrave;tre du collecteur &agrave; remplacer. Coupez et collez les
param&egrave;tres appropri&eacute;s dans le nouveau collecteur.
4. Le cas &eacute;ch&eacute;ant, supprimez ou ajoutez des variables de param&egrave;tre selon les
instructions de la documentation du nouveau collecteur. Si vous ajoutez des variables
de param&egrave;tre, vous devez indiquer vous-m&ecirc;me les valeurs de ces variables.
5. Enregistrez le fichier de param&egrave;tre dans le nouveau collecteur.
6. G&eacute;n&eacute;rez le nouveau collecteur.
7. Modifiez les informations de configuration de port de fa&ccedil;on &agrave; pouvoir utiliser
correctement le nouveau collecteur.
8. Enregistrez ces informations.
9. T&eacute;l&eacute;chargez le nouveau collecteur et la configuration de port correspondante.
10. Red&eacute;marrez le port.
2-20
Guide d'utilisation du composant Wizard de Sentinel
3
G&eacute;n&eacute;ration et gestion des collecteurs
REMARQUE : les termes Agent et Collecteur sont interchangeables. Le terme
Collecteur sera utilis&eacute; dans la suite de cette documentation.
REMARQUE : pour les utilisateurs de Microsoft SQL 2000, la taille d'un
&eacute;v&eacute;nement ne peut pas d&eacute;passer 8 Ko.
Un collecteur est charg&eacute; d'analyser des donn&eacute;es provenant d'un dispositif qui g&eacute;n&egrave;re des
&eacute;v&eacute;nements de s&eacute;curit&eacute; et d'envoyer des &eacute;v&eacute;nements vers Sentinel. La cr&eacute;ation, l'activation et
la gestion des collecteurs se font &agrave; l'aide du G&eacute;n&eacute;rateur de collecteurs Wizard. Cliquez sur
l'onglet Collecteurs pour afficher l'arborescence correspondante et faire appara&icirc;tre tous les
collecteurs et les composants de collecteur install&eacute;s sur votre syst&egrave;me Sentinel.
Le gestionnaire des collecteurs vous permet de :

g&eacute;n&eacute;rer des collecteurs :
&agrave; cr&eacute;ation et configuration de fichiers de mod&egrave;le ;
&agrave; cr&eacute;ation de fichiers de param&egrave;tre ;
&agrave; cr&eacute;ation de fichiers de recherche ;
G&eacute;n&eacute;ration et gestion des collecteurs
3-1
&agrave;
&agrave;
g&eacute;n&eacute;ration de scripts ;
cr&eacute;ation d'un port Wizard.
Notions de base n&eacute;cessaires &agrave; la g&eacute;n&eacute;ration
d'un collecteur
Les principales &eacute;tapes de g&eacute;n&eacute;ration d'un collecteur sont les suivantes :






cr&eacute;er et configurer des fichiers de mod&egrave;le, en pr&eacute;cisant les points d&eacute;cisionnels en fonction
de la fa&ccedil;on dont les &eacute;tats sont appliqu&eacute;s ;
cr&eacute;er et configurer un fichier de param&egrave;tre ;
cr&eacute;er et configurer un fichier de recherche (facultatif) ;
g&eacute;n&eacute;rer un script ;
assigner une s&eacute;quence de d&eacute;marrage ;
cr&eacute;er un port et lui assigner un collecteur avant de le d&eacute;marrer.
Principales &eacute;tapes d'impl&eacute;mentation d'un collecteur
Les principales &eacute;tapes d'impl&eacute;mentation d'un collecteur sont les suivantes :



3-2
d&eacute;finition des donn&eacute;es &agrave; surveiller ;
d&eacute;finition de la mani&egrave;re dont les donn&eacute;es doivent &ecirc;tre surveill&eacute;es ;
d&eacute;finition du syst&egrave;me d'exploitation sous lequel est ex&eacute;cut&eacute; le produit :
&agrave; lorsque l'h&ocirc;te et le produit se trouvent au m&ecirc;me endroit, la logique veut que les
donn&eacute;es soient obtenues par lecture du fichier journal du produit ;
&agrave; lorsque l'h&ocirc;te et le produit ne sont pas install&eacute;s sur la m&ecirc;me machine, les donn&eacute;es
sont obtenues par l'interm&eacute;diaire d'un syst&egrave;me de fichiers r&eacute;seau (partage de fichiers
NFS, Samba ou SMB), une connexion par socket TCP/IP ou une connexion s&eacute;rie ;
Guide d'utilisation du composant Wizard de Sentinel


g&eacute;n&eacute;ration des collecteurs et d&eacute;marrage des ports ;
en cas d'utilisation d'h&ocirc;tes distants, t&eacute;l&eacute;chargement des fichiers de collecteur vers ces
h&ocirc;tes distants et d&eacute;marrage du port pour ex&eacute;cuter les scripts de d&eacute;marrage (les
informations r&eacute;cup&eacute;r&eacute;es sont ensuite transmises au syst&egrave;me Sentinel).
G&eacute;n&eacute;ration et gestion des collecteurs
3-3
G&eacute;n&eacute;ration d'un collecteur
Comme mentionn&eacute; plus avant, la g&eacute;n&eacute;ration d'un collecteur exige la cr&eacute;ation des
&eacute;l&eacute;ments suivants :





fichiers de mod&egrave;le ;
fichiers de param&egrave;tre ;
fichiers de recherche (facultatif) ;
scripts ;
assignation d'un nom de port Wizard &agrave; un collecteur.
Cr&eacute;ation et configuration de fichiers de mod&egrave;le
Pour cr&eacute;er et configurer des fichiers de mod&egrave;le
1. Lancez le G&eacute;n&eacute;rateur de collecteurs.
2. Cliquez sur l'onglet Collecteurs pour ouvrir le panneau de l'arborescence
des collecteurs.
3. Dans l'arborescence des collecteurs, cliquez avec le bouton droit sur Collecteurs, puis
s&eacute;lectionnez New Collector (Nouveau collecteur).
4. Entrez le nom du nouveau collecteur dans la zone pr&eacute;vue &agrave; cet effet et appuyez
sur Entr&eacute;e.
5. Cliquez avec le bouton droit sur le nouveau collecteur, puis s&eacute;lectionnez New
Template (Nouveau mod&egrave;le).
6. Dans la zone New Template (Nouveau mod&egrave;le) de l'arborescence des collecteurs,
tapez un nom et appuyez sur Entr&eacute;e.
7. S&eacute;lectionnez le nouveau mod&egrave;le et cliquez sur l'onglet Template Editor (&Eacute;diteur
de mod&egrave;les).
8. Dans le panneau Template Editor (&Eacute;diteur de mod&egrave;les), d&eacute;placez les &eacute;tats en les
faisant glisser vers la zone d'&eacute;dition &agrave; l'aide des boutons d'&eacute;tat situ&eacute;s &agrave; gauche du
panneau. Pour plus d'informations sur l'ajout d'&eacute;tats &agrave; un mod&egrave;le, voir la rubrique
Ajout d'un &eacute;tat &agrave; un fichier de mod&egrave;le.
9. Cliquez sur Enregistrer.
3-4
Guide d'utilisation du composant Wizard de Sentinel
Ajout d'un &eacute;tat &agrave; un fichier de mod&egrave;le
Tous les collecteurs d&eacute;marrent leur traitement &agrave; l'&eacute;tat 1, quel que soit l'emplacement de cet
&eacute;tat 1 dans le mod&egrave;le. En admettant que l'&eacute;tat 1 soit un &eacute;tat de traitement, un nouvel &eacute;tat peut
&ecirc;tre ins&eacute;r&eacute; &agrave; la suite de cet &eacute;tat 1.
Le G&eacute;n&eacute;rateur de collecteurs assigne au premier &eacute;tat le num&eacute;ro 1. Il est recommand&eacute; de faire
en sorte que ce premier &eacute;tat contienne uniquement une commande d'analyse
BREAKPOINT(). En ins&eacute;rant uniquement un point d'interruption (commande
BREAKPOINT) apr&egrave;s l'&eacute;tat 1, le d&eacute;bogage est facilit&eacute;. En cas de d&eacute;bogage, l'analyseur
s'arr&ecirc;te automatiquement sur l'&eacute;tat suivant.
Lors de la cr&eacute;ation d'un mod&egrave;le, il faut commencer par un &eacute;tat d'analyse contenant
uniquement un point d'interruption. Ensuite, il est possible d'ajouter l'&eacute;tat de fonctionnement
(&eacute;tat de r&eacute;ception, d'analyse, etc.) en tant qu'&eacute;tat 2. Lorsqu'il est n&eacute;cessaire d'ajouter un &eacute;tat au
d&eacute;but du mod&egrave;le, il ne doit &ecirc;tre ins&eacute;r&eacute; qu'apr&egrave;s le point d'interruption.
Il est conseill&eacute; de ne supprimer l'&eacute;tat d'analyse comprenant le point d'interruption que lorsque
l'ajout d'un &eacute;tat au d&eacute;but du mod&egrave;le est vraiment n&eacute;cessaire. Le cas &eacute;ch&eacute;ant, il est possible
d'entrer des commentaires concernant la fonctionnalit&eacute; du mod&egrave;le dans cette commande
BREAKPOINT.
Pour ajouter un &eacute;tat &agrave; un mod&egrave;le
1. Cliquez sur l'onglet Collecteurs pour ouvrir le panneau de l'arborescence
des collecteurs.
2. Dans l'arborescence des collecteurs, s&eacute;lectionnez un mod&egrave;le pour pouvoir afficher
Template Editor (&Eacute;diteur de mod&egrave;les) dans le panneau de droite.
3. Cliquez sur Options &gt;Add State (Ajouter un &eacute;tat), puis s&eacute;lectionnez l'un des &eacute;tats
Transmit (Transmettre), Receive (Recevoir), Decide (D&eacute;cider), Parse (Analyser),
Next (Suivant), Go To (Retourner &agrave;) et Arr&ecirc;ter ou cliquez sur les
boutons correspondants.

Transmit (Transmettre)

Receive (Recevoir)

Decide (D&eacute;cider)

Parse (Analyser)

Next (Suivant)

Go To (Retourner &agrave;)

Arr&ecirc;ter
4. &Agrave; l'aide des panneaux d'&eacute;dition situ&eacute;s dans la partie inf&eacute;rieure du panneau Template
Editor (&Eacute;diteur de mod&egrave;les), ins&eacute;rez un nouveau code pour chaque &eacute;tat que
vous ajoutez.
G&eacute;n&eacute;ration et gestion des collecteurs
3-5
Une autre m&eacute;thode consiste &agrave; d&eacute;placer un bouton d'&eacute;tat d'analyse en le faisant glisser de
la partie gauche du Template Editor (&Eacute;diteur de mod&egrave;les) vers la zone d'&eacute;dition.
REMARQUE : n'utilisez de guillemets doubles dans la cha&icirc;ne de d&eacute;cision ni pour
l'&eacute;tat de r&eacute;ception (entre autres, pour des raisons de correspondance avec le
s&eacute;parateur dans un fichier journal), ni pour celui de d&eacute;cision, sous peine de voir le
message d'erreur suivant s'afficher :
***ERROR: Reading Template File...&quot; (ERREUR lors de la
lecture du fichier de mod&egrave;le)
Lorsque des guillemets doubles sont ins&eacute;r&eacute;s dans une cha&icirc;ne de d&eacute;cision ou de
s&eacute;paration, une anomalie est g&eacute;n&eacute;r&eacute;e :
StateDecideString: &quot;test&quot;123&quot;
Pour &eacute;viter ce probl&egrave;me, utilisez \22\ au lieu de (&quot;).
REMARQUE : si vous s&eacute;lectionnez un autre &eacute;l&eacute;ment de l'onglet Collecteurs (m&ecirc;me
si cet &eacute;l&eacute;ment fait partie du m&ecirc;me collecteur) et que vous revenez au mod&egrave;le qui pose
probl&egrave;me, le G&eacute;n&eacute;rateur de collecteurs g&eacute;n&egrave;re le message d'erreur ci-dessus et
n'affiche aucun &eacute;l&eacute;ment ni aucun &eacute;tat du mod&egrave;le. L'erreur est g&eacute;n&eacute;r&eacute;e parce qu'un
guillemet double (&quot;) est utilis&eacute; pour s&eacute;parer des valeurs de champ dans un fichier
.tem. Par exemple :
StateDecideString: &quot;test&quot;
StateDelimiterString: &quot;123&quot;
3-6
Guide d'utilisation du composant Wizard de Sentinel
Entr&eacute;e d'une commande d'analyse &agrave; l'aide de l'&eacute;diteur plein &eacute;cran
Il existe deux fa&ccedil;ons d'entrer une commande d'analyse : en utilisant l'&eacute;diteur plein &eacute;cran ou
l'&eacute;diteur de texte. Limitez le nombre de vos commandes &agrave; 4 096.
Pour entrer une commande d'analyse &agrave; l'aide de l'&eacute;diteur plein &eacute;cran
1. Dans l'&eacute;diteur Template Editor (&Eacute;diteur de mod&egrave;les), s&eacute;lectionnez un &eacute;tat d'analyse.
L'onglet correspondant &agrave; l'&eacute;diteur plein &eacute;cran s'ouvre par d&eacute;faut lorsque vous cliquez
sur un mod&egrave;le.
2. Dans cet &eacute;diteur, faites glisser les commandes d'analyse &agrave; droite du panneau.
3. Entrez les valeurs des arguments dans la fen&ecirc;tre de l'&eacute;diteur de
commande contextuelle.
 S&eacute;lectionnez un type : les types possibles pour chaque commande d'analyse sont
d&eacute;crits dans le Guide des r&eacute;f&eacute;rences utilisateur de Sentinel.
G&eacute;n&eacute;ration et gestion des collecteurs
3-7

Sp&eacute;cifiez une valeur : les valeurs sont d&eacute;finies pour une application sp&eacute;cifique.
Des exemples de valeurs possibles pour chaque commande d'analyse sont
indiqu&eacute;s dans le Guide des r&eacute;f&eacute;rences utilisateur de Sentinel.
Pour entrer une commande d'analyse &agrave; l'aide de l'&eacute;diteur de texte
1. Dans l'&eacute;diteur Template Editor (&Eacute;diteur de mod&egrave;les), cliquez sur l'onglet
correspondant &agrave; l'&eacute;diteur de texte.
2. Entrez manuellement vos commandes d'analyse.
Servez-vous de la touche Tab du clavier pour aligner votre texte lorsque vous utilisez une
police fixe. Copiez, coupez et collez vos options de la m&ecirc;me mani&egrave;re que dans un &eacute;diteur
de texte classique.
Modification d'une commande d'analyse




Arguments : comprend tous les arguments disponibles pour la commande d'analyse
s&eacute;lectionn&eacute;e dans l'&eacute;diteur plein &eacute;cran.
Argument Use (Utilisation de l'argument) : d&eacute;finit si l'argument est obligatoire
ou facultatif.
Type : d&eacute;termine le type de la variable (cha&icirc;ne, variable de cha&icirc;ne, nombre, variable de
nombre, valeur flottante, variable flottante ou variable pr&eacute;d&eacute;finie).
Valeur : valeur d&eacute;finie pour la variable d&eacute;termin&eacute;e dans la colonne Type.
Pour modifier une commande d'analyse
1. Dans l'&eacute;diteur plein &eacute;cran, proc&eacute;dez de l'une des fa&ccedil;ons suivantes :
 Cliquez avec le bouton droit sur la commande d'analyse et s&eacute;lectionnez Add to
State Parsing List (Ajouter &agrave; la liste d'analyse des &eacute;tats).
 Double-cliquez sur une commande d'analyse. L'&eacute;diteur Command Editor
(&Eacute;diteur de commandes) s'ouvre.
2. Renseignez les types et les valeurs souhait&eacute;es dans les zones de liste d&eacute;roulante
correspondantes pour terminer la modification. Pour plus d'informations sur les
descriptions de commande d'analyse, reportez-vous au Guide des r&eacute;f&eacute;rences
utilisateur de Sentinel.
3-8
Guide d'utilisation du composant Wizard de Sentinel
Cr&eacute;ation et configuration de fichiers de param&egrave;tre
Pour cr&eacute;er et configurer des fichiers de param&egrave;tre
1. Cliquez sur l'onglet Collecteurs.
2. S&eacute;lectionnez un mod&egrave;le et cliquez sur l'onglet Param&egrave;tres dans le panneau de droite.
3. Double-cliquez sur le bouton Nouveau... dans la premi&egrave;re colonne du tableau
des param&egrave;tres.
4. Entrez le nom du nouveau param&egrave;tre (il s'agit du nom du script, r4.1 par exemple) et
appuyez sur Entr&eacute;e.
5. (Facultatif) Cliquez avec le bouton droit sur le bouton Bitmap (deuxi&egrave;me
colonne/deuxi&egrave;me ligne) et cliquez sur Assign Bitmap (Assigner un bouton Bitmap).
Dans la bo&icirc;te de dialogue Bitmap Assignment (Assignation de bouton Bitmap),
s&eacute;lectionnez un bouton Bitmap.
6. Double-cliquez sur chacune des zones d'&eacute;dition des nouveaux param&egrave;tres et entrez
les valeurs appropri&eacute;es.
7. Une fois toutes les valeurs d&eacute;finies, le fichier de param&egrave;tre et le fichier de mod&egrave;le
doivent &ecirc;tre compil&eacute;s pour cr&eacute;er un script. Reportez-vous &agrave; la section G&eacute;n&eacute;ration
d'un script.
G&eacute;n&eacute;ration et gestion des collecteurs
3-9
Cr&eacute;ation et configuration de fichiers de recherche
Cette proc&eacute;dure est facultative.
Pour cr&eacute;er et configurer des fichiers de recherche
1. Cliquez sur l'onglet Collecteurs pour ouvrir le panneau de l'arborescence
des collecteurs.
2. Cliquez avec le bouton droit sur un collecteur, puis s&eacute;lectionnez New Lookup File
(Nouveau fichier de recherche).
3. Dans la zone New Lookup File (Nouveau fichier de recherche), tapez un nom et
appuyez sur Entr&eacute;e.
4. Dans la colonne Match (Correspondance), double-cliquez sur Nouveau..., entrez la
cha&icirc;ne &agrave; faire correspondre et appuyez sur Entr&eacute;e. Vous pouvez ajouter, ins&eacute;rer et
supprimer des clauses de correspondance.
 Ajout : dans la colonne Match (Correspondance), cliquez avec le bouton droit
sur une clause de correspondance et s&eacute;lectionnez Add Match Clause (Ajouter une
clause de correspondance).
 Insertion : dans la colonne Match (Correspondance), cliquez avec le bouton droit
sur une clause de correspondance et s&eacute;lectionnez Insert Match Clause (Ins&eacute;rer
une clause de correspondance).
 Suppression : dans la colonne Match (Correspondance), cliquez avec le bouton
droit sur une clause de correspondance et s&eacute;lectionnez Delete Match Clause
(Supprimer une clause de correspondance).
5. (Facultatif) : pour entrer des commandes d'analyse, cliquez avec le bouton droit dans
la colonne Parsing (Analyse) pour ouvrir l'&eacute;diteur plein &eacute;cran. Pour plus
d'informations sur l'utilisation de l'&eacute;diteur plein &eacute;cran, voir Entr&eacute;e d'une commande
d'analyse &agrave; l'aide de l'&eacute;diteur plein &eacute;cran.
6. S&eacute;lectionnez les commandes d'analyse voulues et d&eacute;finissez-les dans Command
Editor (&Eacute;diteur de commandes). Les commandes s'affichent dans la colonne
Parsing (Analyse).
7. Une fois toutes les valeurs d&eacute;finies, le fichier de recherche doit &ecirc;tre compil&eacute; pour
cr&eacute;er un script. Reportez-vous &agrave; la section G&eacute;n&eacute;ration d'un script.
3-10
Guide d'utilisation du composant Wizard de Sentinel
Scripts
Les scripts sont g&eacute;n&eacute;r&eacute;s en fonction de mod&egrave;les. Un seul mod&egrave;le vous permet de g&eacute;n&eacute;rer
plusieurs scripts. Le gestionnaire des collecteurs vous permet de :



g&eacute;n&eacute;rer un script ;
d&eacute;boguer un script ;
assigner une s&eacute;quence de d&eacute;marrage &agrave; un script.
G&eacute;n&eacute;ration d'un script
Pour g&eacute;n&eacute;rer un script
1. Cliquez sur l'onglet Collecteurs pour ouvrir le panneau de l'arborescence
des collecteurs.
2. Dans le panneau de gauche, s&eacute;lectionnez le mod&egrave;le en fonction duquel vous voulez
g&eacute;n&eacute;rer vos scripts.
3. S&eacute;lectionnez Fichier &gt; Build Scripts (G&eacute;n&eacute;rer des scripts).
4. Dans l'onglet Template Editor (&Eacute;diteur de mod&egrave;les), faites glisser un script du
mod&egrave;le vers la colonne Startup Scripts (Scripts de d&eacute;marrage) ou Backout Scripts
(Scripts de retour &agrave; l'&eacute;tat ant&eacute;rieur) du panneau de droite.
Les scripts s'ex&eacute;cutent dans l'ordre dans lequel ils apparaissent dans les colonnes Startup
Scripts (Scripts de d&eacute;marrage) et Backout Scripts (Scripts de retour &agrave; l'&eacute;tat ant&eacute;rieur).
Pour r&eacute;organiser l'ordre des scripts, faites glisser les scripts vers le haut ou vers le bas
dans les colonnes.
REMARQUE : le dernier script d'une s&eacute;quence de retour &agrave; l'&eacute;tat ant&eacute;rieur doit se
terminer sur l'&eacute;tat de traitement Arr&ecirc;ter.
5. (Facultatif) D&eacute;boguez vos scripts &agrave; l'aide du d&eacute;bogueur.
6. Cliquez sur Fichier &gt; Enregistrer.
7. Pour que les modifications soient appliqu&eacute;es, d&eacute;marrez et arr&ecirc;tez le port &agrave; l'aide des
boutons Arr&ecirc;ter et D&eacute;marrer dans la barre d'outils.
G&eacute;n&eacute;ration et gestion des collecteurs
3-11
Activation de la fonctionnalit&eacute; AutoBuild (G&eacute;n&eacute;ration automatique) pour les
collecteurs ant&eacute;rieurs &agrave; la version 5.0
La fonctionnalit&eacute; AutoBuild (G&eacute;n&eacute;ration automatique) vous permet de configurer et de
d&eacute;ployer des collecteurs sans passer par l'&eacute;tape de g&eacute;n&eacute;ration du script.
Pour activer la fonctionnalit&eacute; AutoBuild (G&eacute;n&eacute;ration automatique) sur les collecteurs
ant&eacute;rieurs &agrave; la version 5.0
1. Copiez les fichiers suivants dans le collecteur version 5.* existant et placez-les dans
le collecteur pour lequel vous souhaitez activer la fonctionnalit&eacute; AutoBuild
(G&eacute;n&eacute;ration automatique).
 auto.tem
 auto.asd
 auto.lkp
 auto.par
2. Renommez votre fichier de mod&egrave;le princ.tem. Vous pouvez effectuer cette op&eacute;ration
dans le G&eacute;n&eacute;rateur de collecteurs.
3. S&eacute;lectionnez le fichier de mod&egrave;le renomm&eacute; et cliquez sur l'onglet Param&egrave;tres.
Remplacez le nom affich&eacute; dans l'en-t&ecirc;te de la colonne portant le nom de votre fichier
de script (r4.1, par exemple) par &laquo; princ &raquo; et appuyez sur la touche Entr&eacute;e.
4. Cliquez sur le bouton Enregistrer.
5. Dans la cha&icirc;ne Startup (D&eacute;marrage), cliquez avec le bouton droit sur auto.asd et
faites-le glisser pour le placer avant &laquo; princ &raquo;.
3-12
Guide d'utilisation du composant Wizard de Sentinel
D&eacute;bogage d'un script
Lorsque vous commencez le d&eacute;bogage, l'&eacute;tat du port est d&eacute;fini sur &laquo; Debug &raquo; (D&eacute;boguer)
dans le panneau d'informations du port. Pour d&eacute;boguer un script, voir la section D&eacute;bogage
d'un port Wizard au chapitre 2.
Assignation d'une s&eacute;quence de d&eacute;marrage &agrave; un script
Si vous souhaitez qu'un port soit ex&eacute;cut&eacute; au d&eacute;marrage, vous pouvez d&eacute;finir une s&eacute;quence de
d&eacute;marrage de sorte qu'elle ex&eacute;cute un ensemble de scripts pr&eacute;cis au d&eacute;marrage. Une s&eacute;quence
de d&eacute;marrage est un fichier contenant les noms des scripts &agrave; ex&eacute;cuter au d&eacute;marrage.
Pour assigner une s&eacute;quence de d&eacute;marrage &agrave; un script
1. Cliquez avec le bouton droit sur le nom d'un script dans l'arborescence des collecteurs
et s&eacute;lectionnez New Startup Sequence (Nouvelle s&eacute;quence de d&eacute;marrage). La bo&icirc;te
de dialogue correspondante s'affiche.
2. Dans la bo&icirc;te de dialogue New Startup Sequence (Nouvelle s&eacute;quence de d&eacute;marrage),
tapez le nom de la s&eacute;quence puis cliquez sur OK. La s&eacute;quence de d&eacute;marrage ainsi
cr&eacute;&eacute;e est ajout&eacute;e au menu, dans la partie sup&eacute;rieure du panneau Startup Scripts
(Scripts de d&eacute;marrage). Pour les noms de s&eacute;quence, respectez les instructions
suivantes :
 N'utilisez pas les termes &laquo; startup &raquo; (d&eacute;marrage) ou &laquo; backout &raquo; (retour &agrave; l'&eacute;tat
ant&eacute;rieur) dans vos noms de s&eacute;quence.
 N'utilisez pas deux fois le m&ecirc;me nom de s&eacute;quence dans un collecteur.
3. Faites glisser les fichiers de script de l'arborescence des collecteurs vers la colonne
Startup Scripts (Scripts de d&eacute;marrage). Les scripts sont ex&eacute;cut&eacute;s dans l'ordre dans
lequel ils apparaissent dans la colonne, du haut vers le bas.
4. Pour r&eacute;organiser l'ordre des scripts, d&eacute;placez les scripts dans la colonne en les faisant
glisser vers le haut et vers le bas, ou cliquez avec le bouton droit dans le panneau
Startup Scripts (Scripts de d&eacute;marrage) et s&eacute;lectionnez Reorder Startup Script
(R&eacute;organiser les scripts de d&eacute;marrage).
Cr&eacute;ation d'un port Wizard
Vous pouvez cr&eacute;er plusieurs ports pour un collecteur. Pour certains types de capteur, il se
peut que vous deviez cr&eacute;er plusieurs instances d'un m&ecirc;me collecteur et assigner chacune
d'entre elles &agrave; un port diff&eacute;rent.
Le type de connexion d'un port d&eacute;termine la mani&egrave;re dont les donn&eacute;es de s&eacute;curit&eacute; sont lues,
les informations &agrave; lire et le moment o&ugrave; la connexion est &eacute;tablie. Les types de connexion sont
les suivants :








Serial (s&eacute;rie)
Socket
File New (fichier actualis&eacute;)
File All (tout le fichier)
Persistent Process (processus permanent)
Transient Process (processus temporaire)
SNMP Trap (trappes SNMP)
None (aucun)
G&eacute;n&eacute;ration et gestion des collecteurs
3-13
Type de connexion Serial (s&eacute;rie)
Le type de connexion Serial est utilis&eacute; si les donn&eacute;es doivent &ecirc;tre lues sur un port s&eacute;rie de
type RS-232C, par l'interm&eacute;diaire d'un c&acirc;ble s&eacute;rie ou d'un modem. Vous devez indiquer le
port s&eacute;rie ad&eacute;quat (COM1, COM2, etc.) dans la zone Rx/Tx Value (Valeur Rx/Tx). L'h&ocirc;te
ex&eacute;cutant le produit &agrave; surveiller doit &eacute;galement disposer d'une connexion s&eacute;rie &agrave; l'h&ocirc;te qui
h&eacute;berge le collecteur, soit directement, par le biais d'un c&acirc;ble s&eacute;rie, soit par l'interm&eacute;diaire de
modems &agrave; chaque extr&eacute;mit&eacute; de la connexion.
Pour ce type de connexion, d'autres modifications et param&eacute;trages sont &agrave; pr&eacute;voir.
Type de connexion Socket
La connexion par socket s'utilise lorsque les donn&eacute;es sont lues &agrave; partir d'une connexion par
socket TCP. Dans la zone Rx/Tx Value (Valeur Rx/Tx), entrez l'adresse IP et le num&eacute;ro de
port TCP de l'h&ocirc;te distant. L'adresse IP et le num&eacute;ro de port TCP doivent &ecirc;tre s&eacute;par&eacute;s par un
deux-points. Par exemple, pour indiquer un port SMTP, entrez les informations suivantes
dans la zone Rx/Tx Value (Valeur Rx/Tx) :
&lt;Adresse IP&gt;:&lt;port&gt;
Vous &ecirc;tes &eacute;galement susceptible de devoir placer un processus serveur de socket TCP sur
l'h&ocirc;te distant et de le configurer de sorte qu'il achemine les donn&eacute;es vers le port TCP.
Pour plus d'informations sur la configuration des collecteurs avec ce type de connexion,
reportez-vous &agrave; la documentation relative aux collecteurs (Snort, Cisco PIX ou Solaris
Syslog) &agrave; l'emplacement suivant :
%workbench_home%\elements\&lt;nom du collecteur&gt;\docs
Type de connexion File New (fichier actualis&eacute;)
La connexion de type File New (fichier actualis&eacute;) permet de lire uniquement les donn&eacute;es
d'&eacute;v&eacute;nement de s&eacute;curit&eacute; qui ont &eacute;t&eacute; ajout&eacute;es &agrave; un fichier apr&egrave;s le d&eacute;marrage du script. Ce type
de connexion ouvre le fichier et le lit en commen&ccedil;ant par la fin. Vous devez indiquer le
chemin d'acc&egrave;s au fichier journal dans la zone Rx/Tx Value (Valeur Rx/Tx).
Pour plus d'informations sur la configuration d'un collecteur avec ce type de connexion,
reportez-vous &agrave; la documentation relative au collecteur (Solaris Syslog) &agrave; l'emplacement
suivant :
%workbench_home%\elements\&lt;nom du collecteur&gt;\docs
3-14
Guide d'utilisation du composant Wizard de Sentinel
Type de connexion File All (tout le fichier)
La connexion de type File All (tout le fichier) lit l'int&eacute;gralit&eacute; des donn&eacute;es d'&eacute;v&eacute;nement de
s&eacute;curit&eacute; d'un fichier.
Si vous s&eacute;lectionnez File New ou File All, vous pouvez entrer le nom d'un fichier d'entr&eacute;e
et/ou d'un fichier de sortie dans la zone Rx/Tx Value (Valeur Rx/Tx). Le format de cette
entr&eacute;e est le suivant :
fichier_d'entr&eacute;e, fichier_de_sortie
ou
fichier_d'entr&eacute;e
ou
fichier_de_sortie
Si vous s&eacute;lectionnez File New ou File All et que le fichier est r&eacute;duit, le fichier est lu depuis
le d&eacute;but.
Pour plus d'informations sur la configuration des collecteurs avec ce type de connexion,
reportez-vous &agrave; la documentation relative aux collecteurs (Solaris Syslog et Windows 2000
Event Log) &agrave; l'emplacement suivant :
%workbench_home%\elements\&lt;nom du collecteur&gt;\docs
Type de connexion Persistent Process (processus permanent)
La connexion de type Persistent Process lance un processus permanent au d&eacute;marrage du port.
Ce type de processus permet la communication entre le collecteur assign&eacute; &agrave; ce port et une
application externe via des &eacute;tats de r&eacute;ception et de transmission.
Un processus permanent d&eacute;marre d&egrave;s la premi&egrave;re lecture et/ou &eacute;criture et continue de
s'ex&eacute;cuter tant que le port est actif. Il s'arr&ecirc;te en m&ecirc;me temps que le port, en tant qu'&eacute;l&eacute;ment
int&eacute;gr&eacute; au processus d'arr&ecirc;t du port. &Agrave; l'arr&ecirc;t du port, un &eacute;v&eacute;nement de niveau 5 est envoy&eacute;. &Agrave;
son d&eacute;marrage, un &eacute;v&eacute;nement de niveau 1 est envoy&eacute;.
Pour plus d'informations, reportez-vous &agrave; la section Processus permanents et temporaires.
Pour plus d'informations sur la configuration de l'option Rx/Tx Value (Valeur Rx/Tx) pour ce
type de connexion, reportez-vous &agrave; la section Configuration de l'option Rx/Tx Value (Valeur
Rx/Tx) pour une connexion permanente ou temporaire (de type Rx/Tx). Pour plus
d'informations sur la configuration des collecteurs avec un type de connexion permanent,
reportez-vous &agrave; la documentation consacr&eacute;e aux collecteurs (Check Point Firewall et Check
Point VPN) &agrave; l'emplacement suivant :
%workbench_home%\elements\&lt;nom du collecteur&gt;\docs
G&eacute;n&eacute;ration et gestion des collecteurs
3-15
Type de connexion Transient Process (processus temporaire)
La connexion de type Transient Process est utilis&eacute;e pour lancer un processus temporaire au
d&eacute;marrage du port. Ce type de processus permet la communication entre le collecteur assign&eacute;
&agrave; ce port et une application externe via des &eacute;tats de r&eacute;ception et de transmission.
Un processus temporaire peut &ecirc;tre d&eacute;marr&eacute; &agrave; plusieurs reprises. Il s'arr&ecirc;te en m&ecirc;me temps que
le port, en tant qu'&eacute;l&eacute;ment int&eacute;gr&eacute; au processus d'arr&ecirc;t du port.
REMARQUE : Si vous s&eacute;lectionnez Persistent Process ou Transient Process,
l'option Rx/Tx Value (Valeur Rx/Tx) doit &ecirc;tre renseign&eacute;e &agrave; l'aide du chemin et du
nom de fichier du processus &agrave; ex&eacute;cuter. Vous pouvez utiliser un chemin d'acc&egrave;s et un
nom de fichier complets ou relatifs (pointant vers %WORKBENCH_HOME%). Par
exemple :
Chemin d'acc&egrave;s complet :
C:\Program Files\Cisco\Csids_client – start
Chemin d'acc&egrave;s relatif :
.\elements\Cisco\Csids_client – start
Les processus permanents utilisent d'office le chemin d'acc&egrave;s relatif, sauf si la zone
Rx/Tx Value (Valeur Rx/Tx) a &eacute;t&eacute; renseign&eacute;e &agrave; l'aide d'un chemin d'acc&egrave;s permanent.
Fin d'un processus temporaire : si le processus temporaire s'arr&ecirc;te avant l'arr&ecirc;t de l'analyseur,
il est red&eacute;marr&eacute; lors du processus de lecture ou d'&eacute;criture suivant, sans qu'aucun message ne
soit envoy&eacute;.
Pour plus d'informations, reportez-vous &agrave; la section Processus permanents et temporaires.
Pour plus d'informations sur la configuration de l'option Rx/Tx Value (Valeur Rx/Tx) pour ce
type de connexion, reportez-vous &agrave; la section Configuration de l'option Rx/Tx Value (Valeur
Rx/Tx) pour une connexion permanente ou temporaire (de type Rx/Tx).
Type de connexion SNMP Trap (trappes SNMP)
La connexion de type SNMP Trap (trappes SNMP) sert &agrave; recevoir des trappes SNMP v1, v2
et v3. Ces trappes sont envoy&eacute;es par les capteurs vers l'adresse IP du serveur Wizard. En
fonction de l'adresse IP et de l'identificateur d'objet (OID) du p&eacute;riph&eacute;rique exp&eacute;diteur, le
Gestionnaire des collecteurs active l'analyse sur le collecteur appropri&eacute;. L'&eacute;tat de r&eacute;ception
(analyse) transmet les donn&eacute;es des trappes SNMP entrantes au collecteur.
Les informations utilis&eacute;es pour r&eacute;cup&eacute;rer et analyser les trappes SNMP v1 et v3 sont
toutes configurables :


Les trappes SNMP v1 sont identifi&eacute;es &agrave; l'aide d'une adresse IP, d'un identificateur d'objet
(OID) et d'un code de trappe.
Les trappes SNMP v2 et v3 sont identifi&eacute;es &agrave; l'aide d'une adresse IP, d'un nom de
s&eacute;curit&eacute;, d'un ID du moteur, de cl&eacute;s de chiffrement et d'authentification (si activ&eacute;es pour
la trappe) ainsi que d'un identificateur d'objet (OID).
Il faut que le format de la trappe, en termes de valeurs de trappe, soit aussi proche que
possible du format d'origine. Ce format est g&eacute;n&eacute;ralement d&eacute;fini dans la base MIB
(management information base) pour le capteur qui a g&eacute;n&eacute;r&eacute; la trappe.
Pour plus d'informations, reportez-vous &agrave; la section Configuration de SNMP Trap (trappes
SNMP).
3-16
Guide d'utilisation du composant Wizard de Sentinel
Type de connexion None (aucun)
La connexion de type None (aucun) est utilis&eacute;e sans port de communication. Elle est
beaucoup plus efficace, car l'&eacute;tape consistant &agrave; &eacute;tablir une connexion n'existe pas. Ce type de
connexion est recommand&eacute; lorsqu'un collecteur ne se sert pas de l'&eacute;tat de r&eacute;ception et se
contente de traiter des commandes.
Pour plus d'informations sur la configuration des collecteurs avec ce type de connexion,
reportez-vous &agrave; la documentation relative aux collecteurs (collecteurs ISS RealSecure et ISS
SiteProtector) &agrave; l'emplacement suivant :
%workbench_home%\elements\&lt;nom du collecteur&gt;\docs
Cr&eacute;ation, assignation, d&eacute;marrage et arr&ecirc;t d'un port Wizard
Pour cr&eacute;er un port Wizard
1. Pour plus d'informations sur la configuration d'un collecteur, reportez-vous &agrave; la
documentation du collecteur concern&eacute; &agrave; l'emplacement suivant :
%workbench_home%\elements\&lt;nom du collecteur&gt;\docs.
2. Cliquez sur l'onglet Collecteurs et s&eacute;lectionnez un collecteur.
3. Dans le G&eacute;n&eacute;rateur de collecteurs, cliquez sur l'onglet Wizard Hosts (H&ocirc;tes Wizard)
et s&eacute;lectionnez un h&ocirc;te.
4. Dans le panneau Port Information (Informations de port), double-cliquez sur
Nouveau, tapez le nom du port et appuyez sur Entr&eacute;e.
5. S&eacute;lectionnez un type Rx/Tx.
6. Pr&eacute;cisez les options de configuration en fonction du type de connexion s&eacute;lectionn&eacute; :
 Connexions de type Serial et Socket : dans la zone d'&eacute;dition Port Name (Nom du
port), cliquez avec le bouton droit sur le nom du port et s&eacute;lectionnez Edit Rx/Tx
Value (&Eacute;diter la valeur Rx/Tx). Sp&eacute;cifiez l'un des ensembles d'options suivants :
&agrave; Pour les connexions de type Serial : s&eacute;lectionnez le d&eacute;bit en bauds, la taille
des mots, la parit&eacute; et les bits d'arr&ecirc;t. Cliquez sur OK.
&agrave; Pour les connexions de type Socket : entrez l'adresse IP et le num&eacute;ro de port
de la machine h&ocirc;te, s&eacute;par&eacute;s par un deux-points. Si aucun &eacute;tat de r&eacute;ception
n'est utilis&eacute;, d&eacute;finissez le type sur None (Aucun) et cliquez sur OK.
 Pour tous les autres types de connexion : double-cliquez sur la cellule Rx/Tx
Value (Valeur Rx/Tx), entrez les informations appropri&eacute;es et appuyez sur Entr&eacute;e.
 Pour les connexions de type SNMP Trap, reportez-vous &agrave; la section
Configuration de SNMP Trap (trappes SNMP).
7. Double-cliquez sur la cellule Collecteur et s&eacute;lectionnez un collecteur.
8. Cliquez avec le bouton droit sur Port Name (Nom du port) et s&eacute;lectionnez Other Port
Options (Autres options de port). La bo&icirc;te de dialogue correspondante s'affiche.
G&eacute;n&eacute;ration et gestion des collecteurs
3-17
9. Dans la bo&icirc;te de dialogue Other Port Options (Autres options de port), cochez ou
d&eacute;cochez la case Run Port at Startup (Ex&eacute;cuter le port au d&eacute;marrage), s&eacute;lectionnez
une s&eacute;quence de d&eacute;marrage et cliquez sur OK.
10. Si vous cr&eacute;ez un port pour l'h&ocirc;te local, cliquez sur Fichier, s&eacute;lectionnez Enregistrer,
puis Port Information (Informations de port).
Si vous cr&eacute;ez un port pour un h&ocirc;te distant, cliquez sur Fichier et s&eacute;lectionnez
Upload/Download (T&eacute;l&eacute;charger).
Le port est ajout&eacute; au panneau Port Information (Informations de port). Il n'est pas
n&eacute;cessaire de red&eacute;marrer le syst&egrave;me pour impl&eacute;menter le nouveau port. Cliquez sur
D&eacute;marrer pour faire passer l'&eacute;tat du nouveau port d'Inactif &agrave; Actif.
Processus permanents et temporaires
Gr&acirc;ce au processus permanent (Persistent Process) ou au processus temporaire (Transient
Process), le composant Wizard peut &ecirc;tre interfac&eacute; avec une autre application &agrave; l'aide de scripts
qui re&ccedil;oivent ou transmettent des donn&eacute;es et analysent les r&eacute;ponses. Chacun de ces scripts
s'ex&eacute;cute sur un port diff&eacute;rent et chaque port est lui-m&ecirc;me connect&eacute; &agrave; une
application sp&eacute;cifique.
REMARQUE : l'application interfac&eacute;e avec le composant Wizard doit &ecirc;tre sp&eacute;cifi&eacute;e
dans la zone Rx/Tx Value (Valeur Rx/Tx).
Les noms des processus peuvent comprendre les &eacute;l&eacute;ments suivants :




des espaces ;
des barres obliques et des barres obliques inverses, pour convenir &agrave; diff&eacute;rents syst&egrave;mes
d'exploitation ;
des arguments de commande ;
des chemins d'acc&egrave;s absolu et relatif (la variable d'environnement
WORKBENCH_HOME est consid&eacute;r&eacute;e comme &eacute;tant le r&eacute;pertoire racine relatif).
Lorsqu'un &eacute;tat de r&eacute;ception/transmission (Rx/Tx) se produit, le processus indiqu&eacute; dans la zone
Rx/Tx Value (Valeur Rx/Tx) est lanc&eacute;. Lorsque l'analyseur s'arr&ecirc;te, le processus prend fin.
Lorsqu'un processus permanent prend fin, un &eacute;v&eacute;nement de niveau 5 est envoy&eacute;. Lorsqu'un
processus permanent d&eacute;marre, un &eacute;v&eacute;nement de niveau 1 est envoy&eacute;.
La sortie standard (stdout) du processus permanent ou temporaire est connect&eacute;e &agrave; l'&eacute;tat
&laquo; lecture &raquo; de r&eacute;ception de l'analyseur. L'entr&eacute;e standard (stdin) du processus permanent ou
temporaire est connect&eacute;e &agrave; l'&eacute;tat &laquo; &eacute;criture &raquo; de transmission de l'analyseur.
3-18
Guide d'utilisation du composant Wizard de Sentinel
Configuration de l'option Rx/Tx Value (Valeur Rx/Tx) pour une
connexion permanente ou temporaire (de type Rx/Tx)
Trois processus de connexion sont disponibles lors de la configuration de connexions
permanentes et temporaires. Ces processus sont les suivants :



DBConnector (connecteur de processus JDBC)
Client LEA
RDEP (Remote Data Exchange Protocol)
N'utilisez pas de guillemets dans la zone d'&eacute;dition Rx/Tx Value (Valeur Rx/Tx) pour les
processus permanent et temporaire. Si le processus correspond &agrave; un chemin d'acc&egrave;s absolu
pointant vers un nom d'ex&eacute;cutable long et comprenant des espaces, entrez-le sans guillemets.
Par exemple :
%WORKBENCH_HOME%\e-security\elements\checkpoint\lea_clien
t checkpoint\lea_client.conf –new
Dans la zone d'&eacute;dition Rx/Tx Value (Valeur Rx/Tx), n'utilisez pas d'espaces pour les
arguments donnant acc&egrave;s &agrave; l'ex&eacute;cutable. G&eacute;n&eacute;ralement, ces arguments contiennent des
espaces si bien que le logiciel comprend qu'il existe deux arguments l&agrave; o&ugrave; il n'y en a qu'un. Si
ces arguments sont pass&eacute;s &agrave; l'emplacement d'un fichier de configuration, comme dans le cas
du collecteur Check Point, utilisez un chemin d'acc&egrave;s relatif depuis
%WORKBENCH_HOME%. Par exemple :
checkpoint/\lea_client checkpoint/\lea_client.conf -new
DBConnector
Le connecteur DBConnector (connecteur de processus JDBC) ex&eacute;cute un client qui se
connecte &agrave; un serveur de base de donn&eacute;es, lance une requ&ecirc;te SQL sur cette base de donn&eacute;es et
renvoie le r&eacute;sultat vers une sortie standard sous forme de paire nom-valeur. La requ&ecirc;te SQL &agrave;
ex&eacute;cuter est lue dans une entr&eacute;e standard ou un fichier. Le nom de la paire nom-valeur
obtenue est extrait du nom de la colonne de l'ensemble des r&eacute;sultats. C'est pourquoi le nom de
la colonne voulue doit &ecirc;tre mentionn&eacute; explicitement au format SQL. La syntaxe exacte varie
selon le serveur de base de donn&eacute;es utilis&eacute;.
L'application DBConnector s'installe &agrave; l'aide du Gestionnaire des collecteurs sous
$WORKBENCH_HOME/dbconnector.
Pour plus d'informations sur l'utilisation du connecteur DBConnector, reportez-vous au
fichier README fourni avec l'application, &agrave; la documentation du collecteur Sentinel pour
Entercept Host IDS 4.0 (via JDBC) ou visitez le portail client d'e-Security &agrave; l'adresse
http://www.esecurityinc.com.
Client LEA
Le client LEA (Log Export API) de Sentinel utilise l'API d'exportation de fichiers journaux
d'OPSEC pour importer des donn&eacute;es de Check Point Firewall-1 et les &eacute;mettre sous forme de
nom paire-valeur. Ce client LEA est g&eacute;n&eacute;ralement utilis&eacute; pour fournir des donn&eacute;es au
collecteur Check Point Firewall-1 de Sentinel. Au sein de ce collecteur, les donn&eacute;es sont
normalis&eacute;es, puis, selon l'action impliqu&eacute;e par l'&eacute;v&eacute;nement (abandon, rejet ou acceptation),
une alerte est transmise au serveur Sentinel.
G&eacute;n&eacute;ration et gestion des collecteurs
3-19
L'application LEA s'installe &agrave; l'aide du Gestionnaire des collecteurs sous
$WORKBENCH_HOME/checkpoint.
Pour plus d'informations sur l'utilisation du client LEA de Check Point, reportez-vous au
fichier README fourni avec l'application, &agrave; la documentation du collecteur Sentinel pour
Check Point Firewall et VPN (via OPSEC) ou visitez le portail client d'e-Security &agrave; l'adresse
http://www.esecurityinc.com.
RDEP (Remote Data Exchange Protocol)
Le client RDEP (Remote Data Exchange Protocol) est une application Java qui importe des
donn&eacute;es depuis des capteurs distants Cisco IDS v4.0 ex&eacute;cutant le protocole RDEP. Ce client
se connecte &agrave; un capteur distant IDS &agrave; l'aide d'une connexion HTTP ou HTTPS. Une fois
connect&eacute;, il ouvre un abonnement ou en utilise un d&eacute;j&agrave; ouvert. L'abonnement d&eacute;crit le type de
donn&eacute;es que le capteur IDS envoie au client. Le type de donn&eacute;es que l'abonnement importe
peut &ecirc;tre modifi&eacute; dans le fichier de configuration rdep_client. Gr&acirc;ce &agrave; cet abonnement, le
client lance une requ&ecirc;te sur des donn&eacute;es d'&eacute;v&eacute;nement &agrave; partir du capteur IDS. Les donn&eacute;es
sont ensuite renvoy&eacute;es par le capteur IDS au format XML, converties au format nom pairevaleur par le client RDEP de Sentinel, puis analys&eacute;es et normalis&eacute;es par le collecteur. Enfin,
le collecteur envoie les &eacute;v&eacute;nements normalis&eacute;s &agrave; Sentinel.
L'application RDEP s'installe &agrave; l'aide du Gestionnaire des collecteurs sous
$WORKBENCH_HOME/cisco/rdep_client.
Pour plus d'informations sur l'utilisation de l'application RDEP, reportez-vous au fichier
README fourni avec l'application, &agrave; la documentation du collecteur Sentinel pour Cisco
IDS 4.0 (via RDEP) ou visitez le portail client d'e-Security &agrave; l'adresse
http://www.esecurityinc.com.
Configuration de SNMP Trap (trappes SNMP)
Sentinel est capable de recevoir des trappes SNMP repr&eacute;sentant des &eacute;v&eacute;nements de s&eacute;curit&eacute;
d&eacute;tect&eacute;s par un capteur install&eacute; sur le r&eacute;seau. Ces &eacute;v&eacute;nements sont envoy&eacute;s vers Sentinel par
l'interm&eacute;diaire d'un r&eacute;seau utilisant le protocole SNMP. Les trappes SNMP de type v1, v2 et
v3 sont prises en charge. Pour permettre &agrave; Sentinel de recevoir des trappes SNMP, un
collecteur Wizard doit &ecirc;tre cr&eacute;&eacute; et configur&eacute; de fa&ccedil;on &agrave; utiliser une connexion SNMP Trap de
type Rx/Tx.
D&eacute;finissez les param&egrave;tres de configuration de la connexion SNMP Trap appropri&eacute;s pour que
les collecteurs SNMP Wizard puissent transmettre des trappes &agrave; Sentinel sous forme
d'&eacute;v&eacute;nements binaires.
Pour cela, servez-vous de la fen&ecirc;tre de configuration SNMP Trap et indiquez-y le port &agrave;
utiliser pour les trappes SNMP, les codes des trappes, les informations d'authentification et
celles de chiffrement.
3-20
Guide d'utilisation du composant Wizard de Sentinel
Pour acc&eacute;der &agrave; la fen&ecirc;tre SNMP Trap
1. Dans le G&eacute;n&eacute;rateur de collecteurs, assignez un nom de port au collecteur SNMP.
2. D&eacute;finissez le type Rx/Tx sur SNMP Trap.
3. Cliquez avec le bouton droit sur le nom du port et s&eacute;lectionnez Edit Rx/Tx Value
(&Eacute;diter la valeur Rx/Tx).
4. Entrez les informations SNMP.
REMARQUE : le num&eacute;ro du port de trappes UDP par d&eacute;faut est le 162. Assurezvous qu'il est disponible. Si tel n'est pas le cas, s&eacute;lectionnez un autre num&eacute;ro de port.
REMARQUE : Contrairement aux autres ports du collecteur, le champ Rx/Tx Value
(Valeur Rx/Tx) est renseign&eacute; d'apr&egrave;s les param&egrave;tres que vous avez d&eacute;finis dans la
fen&ecirc;tre de configuration de SNMP Trap. Dans le cas d'un collecteur SNMP, il est
impossible de modifier manuellement le contenu du champ Rx/Tx Value (Valeur
Rx/Tx).
5. Enregistrez et t&eacute;l&eacute;chargez le collecteur SNMP.
6. Activez ce collecteur en arr&ecirc;tant, puis en red&eacute;marrant votre Gestionnaire
des collecteurs.
REMARQUE : pour activer ce collecteur, vous devez arr&ecirc;ter et red&eacute;marrer votre
Gestionnaire des collecteurs comme indiqu&eacute; &agrave; l'&eacute;tape 6.
G&eacute;n&eacute;ration et gestion des collecteurs
3-21
La configuration SNMP comprend la d&eacute;finition des &eacute;l&eacute;ments suivants :




3-22
Adresse(s) IP du collecteur
Version du protocole SNMP
Port de trappes UDP
Param&egrave;tres SNMP v1
&agrave; Enterprise OID(s) (OID d'entreprise)
&agrave; Trap Code(s) (Code(s) de trappe)
Guide d'utilisation du composant Wizard de Sentinel

Param&egrave;tres SNMP v2/v3
&agrave; Security Name(s) (Nom(s) de s&eacute;curit&eacute;)
&agrave; Authentification
&agrave; Authentication Key (Cl&eacute; d'authentification)
&agrave; Encryption (Chiffrement)
&agrave; Encryption Key (Cl&eacute; de chiffrement)
&agrave; Engine ID(s) (ID de moteur) avec bouton Requ&ecirc;te
&agrave; Trap OID(s) (OID de trappe)
Dans la bo&icirc;te de dialogue de configuration de SNMP Trap, que vous ouvrez en cliquant avec
le bouton droit sur un port dans le panneau des informations de port du G&eacute;n&eacute;rateur de
collecteurs et en s&eacute;lectionnant Edit Rx/Tx Value (&Eacute;diter la valeur Rx/Tx), vous pouvez
configurer le composant Wizard pour :




recevoir des trappes sur des ports autres que le port UDP 162 (port par d&eacute;faut) ;
cr&eacute;er un seul script d'analyse Wizard pour traiter les trappes &agrave; partir de plusieurs adresses
IP &agrave; l'aide d'informations telles que des codes et des identificateurs d'objet (OID)
de trappe ;
autoriser les correspondances d'expressions r&eacute;guli&egrave;res POSIX (Portable Operating System
Interface for UNIX) pour les champs d'adresse IP, d'identificateur d'objet (OID)
d'entreprise, de codes de trappe et d'identificateurs d'objet de trappe ;
d&eacute;finir, apr&egrave;s d&eacute;codage des trappes, les valeurs des variables int&eacute;gr&eacute;es au script.
Adresse(s) IP du collecteur
La ou les adresses IP du collecteur sont celles sur lesquelles vous souhaitez recevoir les
trappes. S&eacute;parez les diff&eacute;rentes valeurs par des points-virgules (;). Vous pouvez utiliser le
format =&lt;expression&gt; pour la correspondance des expressions r&eacute;guli&egrave;res compatibles avec
l'interface POSIX. L'ast&eacute;risque (*) constitue un modificateur du caract&egrave;re ou de l'expression
qui le pr&eacute;c&egrave;de tandis que le point (.) peut s'utiliser en tant que caract&egrave;re g&eacute;n&eacute;rique et peut
appara&icirc;tre &agrave; n'importe quel endroit de la cha&icirc;ne si vous utilisez des expressions r&eacute;guli&egrave;res.
Les expressions r&eacute;guli&egrave;res les plus courantes sont les suivantes :
=
Correspond &agrave; n'importe quelle s&eacute;quence de caract&egrave;res de n'importe
quelle longueur.
= 192\.168.*
Correspond &agrave; n'importe quelle s&eacute;quence de caract&egrave;res contenant
192.168.
Pour obtenir une correspondance de type &laquo; commence par &raquo;, utilisez
la syntaxe suivante : ^192.168... o&ugrave; ^ correspond au marqueur de
d&eacute;but de ligne.
Pour obtenir une correspondance de type &laquo; se termine par &raquo;, utilisez
la syntaxe suivante : 0.47$... o&ugrave; $ correspond au marqueur de fin
de ligne.
= [abc]
Correspond &agrave; &laquo; a &raquo; ou &laquo; b &raquo; ou &laquo; c &raquo;.
= [a-zA-Z0-9]
Correspond &agrave; n'importe quel caract&egrave;re de l'alphabet
(majuscule ou minuscule) ou &agrave; n'importe quel chiffre de 0 &agrave; 9.
G&eacute;n&eacute;ration et gestion des collecteurs
3-23
En r&eacute;sum&eacute;, les r&egrave;gles appliqu&eacute;es dans les exemples d'expressions r&eacute;guli&egrave;res pr&eacute;c&eacute;dents sont
les suivantes :
.
Correspond &agrave; n'importe quel caract&egrave;re.
*
Correspond &agrave; 0 ou plusieurs occurrences du mod&egrave;le d'expression pr&eacute;c&eacute;dent
ce signe.
[]
Correspond &agrave; n'importe quel caract&egrave;re du mod&egrave;le d&eacute;fini entre crochets.
REMARQUE : Ces r&egrave;gles peuvent &ecirc;tre utilis&eacute;es de mani&egrave;re combin&eacute;e.
Version SNMP
Une seule version du protocole SNMP peut &ecirc;tre configur&eacute;e. Les options du panneau des
param&egrave;tres SNMP v1 et de celui des param&egrave;tres SNMP v2/v3 sont activ&eacute;es en fonction de la
version s&eacute;lectionn&eacute;e.
Port de trappes UDP
Le port UDP de destination par d&eacute;faut et le port 162.
Param&egrave;tres SNMP v1
Ces param&egrave;tres ne sont disponibles que si vous s&eacute;lectionnez SNMP v1 dans la liste des
versions de protocole SNMP.


Enterprise OID(s) (OID d'entreprise) : identificateur(s) d'objet permettant de d&eacute;terminer
le type de collecteur qui a envoy&eacute; la trappe. S&eacute;parez les diff&eacute;rentes valeurs par des
points-virgules (;).
Trap Code(s) (Code(s) de trappe) : codes de trappe pour les capteurs qui envoient les
trappes SNMP. Ces codes de trappe indiquent le type des trappes envoy&eacute;es par le
collecteur SNMP. S&eacute;parez les diff&eacute;rentes valeurs par des points-virgules (;).
Param&egrave;tres SNMP v2/v3




3-24
Security Name(s) (Nom(s) de s&eacute;curit&eacute;) : nom d'utilisateur permettant d'acc&eacute;der au
collecteur. Une distinction entre les majuscules et les minuscules est op&eacute;r&eacute;e pour les
noms de s&eacute;curit&eacute;. S&eacute;parez les diff&eacute;rentes valeurs par des points-virgules (;).
Authentification : m&eacute;thode d'authentification. Les valeurs possibles sont les suivantes :
&agrave; Aucun : aucun processus d'authentification n'est appliqu&eacute; pour les trappes SNMP v3.
&agrave; MD5 : le nom de s&eacute;curit&eacute; est configur&eacute; de fa&ccedil;on &agrave; utiliser l'algorithme MD5 pour
cr&eacute;er une signature d'authentification num&eacute;rique.
Authentication Key (Cl&eacute; d'authentification) : mot de passe utilis&eacute; pour authentifier
l'utilisateur du collecteur. Option activ&eacute;e uniquement si la m&eacute;thode d'authentification est
MD5. Doit comporter au moins 8 caract&egrave;res. Une distinction entre les majuscules et les
minuscules est op&eacute;r&eacute;e. Une cl&eacute; identique &agrave; celle-ci doit &ecirc;tre configur&eacute;e sur le collecteur
SNMP d'envoi.
Encryption (Chiffrement) : m&eacute;thode de chiffrement. Les valeurs possibles sont les
suivantes :
&agrave; Aucun : aucun processus de chiffrement n'est appliqu&eacute; pour les trappes SNMP v3.
&agrave; DES : r&eacute;ception de trappes chiffr&eacute;es &agrave; l'aide de la m&eacute;thode DES (Data Encryption
Standard).
Guide d'utilisation du composant Wizard de Sentinel



Encryption Key (Cl&eacute; de chiffrement) : cl&eacute; utilis&eacute;e pour d&eacute;chiffrer les trappes envoy&eacute;es
aux collecteurs Wizard. Doit comporter au moins 8 caract&egrave;res. Une distinction entre les
majuscules et les minuscules est op&eacute;r&eacute;e. Option activ&eacute;e uniquement si DES est
s&eacute;lectionn&eacute; dans la liste Encryption (Chiffrement).
Engine ID(s) (ID de moteur) : identificateur unique destin&eacute; &agrave; un collecteur SNMP v3. Un
bouton de requ&ecirc;te des ID de moteur permet de rechercher l'adresse IP sur laquelle vous
souhaitez lancer une requ&ecirc;te. Une requ&ecirc;te fructueuse renvoie les informations et ajoute
l'ID du moteur trouv&eacute;. Si un ID de moteur est d&eacute;j&agrave; affich&eacute; dans la zone correspondante,
l'ID de moteur trouv&eacute; est ajout&eacute; &agrave; la suite.
Trap OID(s) (OID de trappe) : identificateur d'objet de trappe indiquant le type de la
trappe re&ccedil;ue.
REMARQUE : Si vous sp&eacute;cifiez plusieurs noms de s&eacute;curit&eacute; et plusieurs ID de
moteur, la m&ecirc;me m&eacute;thode d'authentification et de chiffrement est appliqu&eacute;e &agrave; tous les
noms et tous les ID.
REMARQUE : Si des cl&eacute;s d'authentification et de chiffrement diff&eacute;rentes sont
requises selon les collecteurs SNMP, vous devez configurer un port par collecteur.
Variables de trappes SNMP
Certaines variables de trappes sont valables pour tous les types de trappe (SNMP v1 et v3),
tandis que d'autres ne sont valables que pour une seule version du protocole SNMP. Les
tableaux suivants r&eacute;pertorient toutes les variables de trappes SNMP par version ou groupe de
versions SNMP :



Variables de trappes SNMP v1 et v3
Variables de trappes SNMP v1
Variables de trappes SNMP v3
Variables de trappes SNMP v1 et v3
Variable
s_Trap_IP
s_Trap_Time
i_Trap_Version
i_Trap_Vars
s_Trap_OID[]
s_Trap_Value[]
Description
Adresse IP du collecteur/capteur qui a envoy&eacute; la trappe.
Temps de fonctionnement relev&eacute; par le collecteur/capteur qui a
envoy&eacute; la trappe. En g&eacute;n&eacute;ral, il s'agit de la valeur correspondant au
temps pendant lequel le collecteur &eacute;tait actif. Format :
J:HH:MM:SS.ss (jours, heures, minutes, secondes, centi&egrave;mes
de seconde).
Valeur correspondant &agrave; une version SNMP particuli&egrave;re :
1 = SNMP v1
3 = SNMP v3
Nombre de variables li&eacute;es dans la trappe.
Tableau (de la taille sp&eacute;cifi&eacute;e par la variable &laquo; i_Trap_Vars &raquo;) des
noms des variables MIB li&eacute;es dans le message de trappe. Chaque
&eacute;l&eacute;ment du tableau de variables s_Trap_OID est un OID tel que
&laquo; .1.3.6.1.4.1.4286.... &raquo;.
Tableau (de la taille sp&eacute;cifi&eacute;e par la variable &laquo; i_Trap_Vars &raquo;) des
valeurs des variables MIB li&eacute;es dans le message de trappe. Les
indices de ce tableau et ceux du tableau des variables s_Trap_OID
correspondent de telle sorte que s_Trap_OID[0] est le nom de la
variable et que s_Trap_Value[0] est sa valeur.
G&eacute;n&eacute;ration et gestion des collecteurs
3-25
Variables de trappes SNMP v1
Variable
s_Trap_Ent
Description
Identificateur d'objet d'entreprise (OID) du collecteur/capteur
qui a envoy&eacute; la trappe.
s_Trap_Code_Generic
Code g&eacute;n&eacute;rique de la trappe. Les valeurs possibles sont les
suivantes :
1-5 = types de trappe standard d&eacute;finis par l'IETF (Internet
Engineering Task Force)
6 = trappe sp&eacute;cifique &agrave; l'entreprise (son code est d&eacute;fini par la
variable s_Trap_Code_Specific)
s_Trap_Code_Specific
Code de trappe sp&eacute;cifique. &Agrave; sp&eacute;cifier uniquement si
s_Trap_Code_Generic = 6.
Variables de trappes SNMP v3
3-26
Variable
s_Trap_Engine_ID
Description
ID de moteur du collecteur SNMP v3 qui a envoy&eacute;
la trappe.
s_Trap_OID
Identificateur d'objet (OID) indiquant le type de trappe
SNMP v3 re&ccedil;ue. Pour des raisons d'identification des
trappes, l'OID de trappe SNMP v3 prend la place de l'OID
d'entreprise SNMP v1 ainsi que celle du code de trappe
g&eacute;n&eacute;rique ou sp&eacute;cifique.
s_Trap_Security_Name
Nom de s&eacute;curit&eacute; sous lequel appara&icirc;t le collecteur
SNMP v3 qui a envoy&eacute; la trappe.
Guide d'utilisation du composant Wizard de Sentinel
A
Connecteur Syslog v1.0.2
REMARQUE : les termes Agent et Collecteur sont interchangeables. Le terme
Collecteur sera utilis&eacute; dans la suite de cette documentation.
Novell a commercialis&eacute; ce connecteur Syslog afin de permettre une int&eacute;gration sans soucis
entre les collecteurs Sentinel et les produits capables de g&eacute;n&eacute;rer des messages Syslog. Ce
document vise &agrave; expliquer l'architecture, l'installation, l'utilisation et les options du
connecteur Syslog.
Architecture
Le connecteur Syslog se compose de deux &eacute;l&eacute;ments. L'un de ces &eacute;l&eacute;ments est le proxy Syslog
et l'autre, le client du connecteur Syslog. Le proxy Syslog &eacute;coute les ports UDP et TCP
s&eacute;lectionn&eacute;s. Le port UDP par d&eacute;faut est le 514. Le port TCP par d&eacute;faut est le 1468, port
g&eacute;n&eacute;ralement utilis&eacute; par Cisco PIX pour l'envoi de messages Syslog &agrave; l'aide du
protocole TCP.
Connecteur Syslog v1.0.2
A-1
Vous trouverez ci-dessous une description des fonctions de chacun des composants du
connecteur Syslog :


Proxy Syslog
&agrave; &Eacute;coute un port TCP et/ou UDP pour d&eacute;tecter les messages Syslog.
&agrave; Analyse les messages entrants pour y rechercher des composants de message Syslog
standard (priorit&eacute;, date, nom de l'h&ocirc;te et message).
&agrave; Lorsqu'un message envoy&eacute; ne comporte pas de priorit&eacute;, de date ou de nom d'h&ocirc;te, la
norme RFC 3164 intitul&eacute;e &laquo; BSD Syslog Protocol &raquo; est suivie et les donn&eacute;es
manquantes sont ins&eacute;r&eacute;es.
&agrave; Une fois les champs Facility (Type) et Level (Niveau) d&eacute;termin&eacute;s &agrave; partir des
&eacute;l&eacute;ments Priority (Priorit&eacute;) et Hostname (Nom de l'h&ocirc;te), le proxy transmet les
messages aux sessions du connecteur Syslog concern&eacute;es par ce message.
&agrave; Lorsque la session cliente du connecteur Syslog prend fin, le proxy Syslog place les
messages dans une file d'attente entrante de ce client pendant 10 minutes. Cela doit
garantir que le collecteur ne rate aucun message pendant son red&eacute;marrage ou une
interruption temporaire de son ex&eacute;cution.
&agrave; Le proxy Syslog &eacute;coute sur un port TCP (en g&eacute;n&eacute;ral, le port 9091) afin de desservir
les sessions clientes du connecteur Syslog.
Client du connecteur Syslog
&agrave; Le connecteur est d&eacute;marr&eacute; en tant que processus permanent (Persistent Process),
toutes les options d'ex&eacute;cution du connecteur &eacute;tant entr&eacute;es dans la zone Rx/Tx Value
(Valeur Rx/Tx).
&agrave; L'un des param&egrave;tres d'ex&eacute;cution est l'ID. L'ID configur&eacute; pour un connecteur Syslog
particulier doit &ecirc;tre unique entre les ID des connecteurs Syslog connect&eacute;s au m&ecirc;me
proxy Syslog.
&agrave; Un filtre de contenu peut &ecirc;tre sp&eacute;cifi&eacute; pendant l'ex&eacute;cution afin de limiter l'&eacute;tendue
des messages soumis au collecteur pour analyse.
&agrave; Le connecteur Syslog &eacute;tablit une connexion au service d&eacute;livr&eacute; par le client du
connecteur du proxy.
&agrave; Le connecteur Syslog enregistre son ID et ses filtres de contenu aupr&egrave;s du
proxy Syslog.
&agrave; Les messages que le proxy Syslog associe &agrave; l'ID enregistr&eacute; sont lus par le connecteur
Syslog et dirig&eacute;s vers la sortie standard correspondante.
&agrave; Pour le moment, la structure et le contenu des messages sont transmis au collecteur
tels quels. &Agrave; l'avenir, le connecteur Syslog sera capable de mettre le message au
format appropri&eacute; de fa&ccedil;on &agrave; r&eacute;pondre aux exigences d'analyse du collecteur.
Le protocole Syslog a toujours repos&eacute; sur le protocole UDP jusqu'&agrave; aujourd'hui. En l'absence
d'une diversit&eacute; et d'un nombre suffisants d'applications et de p&eacute;riph&eacute;riques capables de
transmettre des messages par TCP ou par un protocole Syslog standard reconnu fonctionnant
avec TCP, la m&eacute;thode de cl&ocirc;ture de message finalement adopt&eacute;e est celle de Cisco PIX
(retour chariot et saut de ligne). La cl&ocirc;ture de message est n&eacute;cessaire lorsque Syslog
fonctionne avec le protocole TCP, car il n'existe aucune ligne de d&eacute;marcation entre les
messages, qu'elle soit naturelle ou normalis&eacute;e. Pour le protocole UDP, Syslog dispose d'une
m&eacute;thode de cl&ocirc;ture de message naturelle puisqu'un paquet UDP ne transporte qu'un seul
message et que le protocole UDP ne n&eacute;cessite pas de connexion.
A-2
Guide d'utilisation du composant Wizard de Sentinel
Installation et d&eacute;sinstallation
Le connecteur Syslog a &eacute;t&eacute; con&ccedil;u de mani&egrave;re &agrave; fonctionner sur n'importe quelle plate-forme
Wizard. Pour r&eacute;pondre &agrave; ces exigences de compatibilit&eacute;, les deux composants Syslog sont
&eacute;crits en Java. Les configurations logicielles et mat&eacute;rielles requises sont r&eacute;pertori&eacute;es ci-apr&egrave;s.
Configuration syst&egrave;me requise
Logiciel



Java 1.4.1 ou version ult&eacute;rieure
Wizard 4.2 ou version ult&eacute;rieure
Windows (2000/XP/2003), Solaris (8/9), RedHat Enterprise Linux (v3 ES/AS)
Mat&eacute;riel

14 Mo de RAM suppl&eacute;mentaires (45 Mo de m&eacute;moire virtuelle) pour chaque instance du
connecteur Syslog et du proxy
Installation
Les fichiers du proxy Syslog ainsi que du client du connecteur sont automatiquement install&eacute;s
en m&ecirc;me temps que le service du collecteur. Les fichiers Syslog se trouvent dans le r&eacute;pertoire
suivant :
Sous UNIX :
$ESEC_HOME/wizard/syslog
Sous Windows :
%ESEC_HOME%\wizard\syslog
Le composant Wizard ne d&eacute;marre pas le proxy Syslog automatiquement. Si vous souhaitez
que le proxy Syslog d&eacute;marre automatiquement, vous devez l'installer en tant que service. Pour
cela, suivez les instructions suivantes :
Pour installer le proxy en tant que service Windows (sous Windows)
REMARQUE : le proxy Syslog peut &ecirc;tre install&eacute; en tant que service Windows afin
de pouvoir &ecirc;tre ex&eacute;cut&eacute; automatiquement. Pour installer le proxy Syslog en tant que
service, ex&eacute;cutez les commandes suivantes lorsque vous y &ecirc;tes invit&eacute; :
1. cd /d “%ESEC_HOME%\wizard\syslog”
2. syslog-server.bat install
Cette op&eacute;ration entra&icirc;ne la cr&eacute;ation d'un service Windows intitul&eacute; &laquo; eSecurity
Syslog Server &raquo;.
Connecteur Syslog v1.0.2
A-3
Pour installer le proxy en tant que service (sous UNIX)
REMARQUE : le proxy Syslog peut &ecirc;tre install&eacute; en tant que service sous UNIX afin
de pouvoir &ecirc;tre ex&eacute;cut&eacute; automatiquement au d&eacute;marrage de la machine qui l'h&eacute;berge.
Pour installer le proxy Syslog en tant que service, ex&eacute;cutez les
commandes suivantes :
1. Connectez-vous en tant qu'utilisateur root.
2. cd $ESEC_HOME/wizard/syslog
3. ./syslog-server.sh install
Ainsi, le proxy Syslog est ex&eacute;cut&eacute; automatiquement au d&eacute;marrage de la machine qui
l'h&eacute;berge. Par d&eacute;faut, le proxy Syslog s'ex&eacute;cute sous une session d'utilisateur root. Cette
condition est n&eacute;cessaire, car, par d&eacute;faut, le proxy Syslog &eacute;tablit une liaison au port 514,
port qui requiert des droits d'utilisateur root. Pour que le proxy Syslog s'ex&eacute;cute sous une
session autre qu'une session d'utilisateur root, modifiez le script /etc/init.d/esyslogserver.
Vous devez vous assurer que l'utilisateur concern&eacute; dispose des autorisations n&eacute;cessaires
pour &eacute;tablir une liaison avec le port sur lequel il compte ex&eacute;cuter un processus d'&eacute;coute.
Voici deux exemples de proc&eacute;dure :
 Utilisez la commande &laquo; sudo &raquo; pour d&eacute;marrer le proxy Syslog et accordez &agrave;
l'utilisateur concern&eacute; les autorisations &laquo; sudo &raquo; n&eacute;cessaires pour &eacute;tablir une
liaison avec le port souhait&eacute;.
 Modifiez la configuration Syslog (syslog.conf) et effectuez les op&eacute;rations
n&eacute;cessaires pour que le proxy Syslog soit li&eacute; &agrave; un port qui ne requiert pas de
droits d'utilisateur root (ex. : le port 1024). Dans ce cas, il vous faudra
probablement rediriger les messages envoy&eacute;s au port 514 vers le nouveau port
que vous avez s&eacute;lectionn&eacute;.
D&eacute;sinstallation
Pour d&eacute;sinstaller le service Windows, ex&eacute;cutez les commandes suivantes lorsque vous y
&ecirc;tes invit&eacute; :
Pour d&eacute;sinstaller le proxy en tant que service Windows (sous Windows)
1. cd /d “%ESEC_HOME%\wizard\syslog”
2. syslog-server.bat remove
Pour d&eacute;sinstaller le proxy en tant que service (sous UNIX)
Pour d&eacute;sinstaller le proxy Syslog en tant que service, ex&eacute;cutez les commandes suivantes :
1. Connectez-vous en tant qu'utilisateur root.
2. cd $ESEC_HOME/wizard/syslog
3. ./syslog-server.sh remove
A-4
Guide d'utilisation du composant Wizard de Sentinel
Utilisation
Serveur proxy Syslog
Le composant Wizard ne d&eacute;marre pas le serveur proxy Syslog automatiquement. Si vous
souhaitez que le proxy Syslog d&eacute;marre automatiquement, vous devez l'installer en tant que
service. Pour cela, suivez les instructions d&eacute;crites &agrave; la section Installation.
La configuration du proxy Syslog est stock&eacute;e dans le fichier suivant :
Sous UNIX :
$ESEC_HOME/wizard/syslog/config/syslog.conf
Sous Windows :
%ESEC_HOME%\wizard\syslog\config\syslog.conf
Par d&eacute;faut, le proxy Syslog utilise la configuration suivante :



port d'&eacute;coute UDP pour les messages Syslog : 514 ;
port d'&eacute;coute TCP pour les messages Syslog : 1468 ;
port d'&eacute;coute TCP pour les connexions provenant de connecteurs : 9091.
Le proxy Syslog peut &ecirc;tre configur&eacute; pour &eacute;couter sur d'autres ports lors de la r&eacute;ception de
messages Syslog ou lors de l'acceptation de connexions clientes.
Commutateurs correspondants :
-udp &lt;port&gt;
-tcp &lt;port&gt;
-connector &lt;port&gt;
Port d'&eacute;coute pour les messages UDP provenant de
p&eacute;riph&eacute;riques. Valeur par d&eacute;faut : 514.
Port d'&eacute;coute pour les connexions TCP provenant de
p&eacute;riph&eacute;riques. Valeur par d&eacute;faut : 1468.
Port d'&eacute;coute pour les connexions TCP provenant des
connecteurs. Valeur par d&eacute;faut : 9091.
Pour modifier ces param&egrave;tres, acc&eacute;dez &agrave; la section suivante du fichier syslog.conf :
wrapper.app.parameter.3=-tcp
wrapper.app.parameter.4=1468
wrapper.app.parameter.5=-udp
wrapper.app.parameter.6=514
wrapper.app.parameter.7=-connector
wrapper.app.parameter.8=9091
Connecteur Syslog v1.0.2
A-5
Si vous voulez changer les param&egrave;tres de port comme suit :



port d'&eacute;coute UDP pour les messages Syslog : 4514 ;
port d'&eacute;coute TCP pour les messages Syslog : 4168 ;
port d'&eacute;coute TCP pour les connexions provenant de connecteurs : 4991,
la section du fichier syslog.conf mentionn&eacute;e ci-avant doit &ecirc;tre modifi&eacute;e comme suit :
wrapper.app.parameter.3=-tcp
wrapper.app.parameter.4=4168
wrapper.app.parameter.5=-udp
wrapper.app.parameter.6=4514
wrapper.app.parameter.7=-connector
wrapper.app.parameter.8=4991
Par d&eacute;faut, la configuration du proxy Syslog est d&eacute;finie de mani&egrave;re &agrave; accepter les connexions
clientes provenant de n'importe quel h&ocirc;te. Pour renforcer la s&eacute;curit&eacute; de votre syst&egrave;me, vous
pouvez configurer le proxy Syslog de sorte qu'il accepte uniquement les connexions clientes
provenant d'un m&ecirc;me h&ocirc;te. Il s'agit d'une simple mesure de s&eacute;curit&eacute;. En effet, aucun syst&egrave;me
de respect de la vie priv&eacute;e, de contr&ocirc;le d'acc&egrave;s ou d'authentification n'existe entre les
connecteurs du client et le proxy. Les commutateurs suivants r&eacute;solvent ce probl&egrave;me :
-private
-shared
&Eacute;coute les connexions provenant de connecteurs sur une boucle.
&Eacute;coute les connexions des connecteurs &agrave; l'h&ocirc;te local (commutateur
par d&eacute;faut).
Le commutateur &laquo; –shared &raquo; ordonne au proxy d'&eacute;tablir une liaison entre le port d'&eacute;coute de la
connexion cliente et un socket accessible aux h&ocirc;tes distants.
Pour modifier ces param&egrave;tres, acc&eacute;dez &agrave; la section suivante du fichier syslog.conf :
wrapper.app.parameter.2=-shared
Si vous souhaitez autoriser uniquement des connexions clientes provenant d'un m&ecirc;me h&ocirc;te,
vous devez changer le param&egrave;tre comme suit :
wrapper.app.parameter.2=-private
Le proxy Syslog peut &ecirc;tre configur&eacute; pour enregistrer tous les messages re&ccedil;us dans un fichier
journal. Le format de ces messages est celui que le proxy Syslog utiliserait s'il devait
transmettre les messages &agrave; un autre serveur Syslog. Par cons&eacute;quent, la priorit&eacute; (&lt;PRI&gt;)
utilis&eacute;e par le serveur Syslog de r&eacute;ception pour &eacute;valuer les champs Facility (Type) et Level
(Niveau) des messages est int&eacute;gr&eacute;e &agrave; tous les d&eacute;buts de message. Ce type de connexion est
possible gr&acirc;ce au commutateur suivant :
-log &lt;nom de fichier&gt;
Nom du fichier journal auquel le message doit
&ecirc;tre ajout&eacute;.
Pour permettre ce type de connexion, ajoutez les deux lignes ci-dessous au fichier
syslog.conf, apr&egrave;s le dernier param&egrave;tre &laquo; wrapper.app.parameter &raquo; :
wrapper.app.parameter.11=-log
wrapper.app.parameter.12=&lt;nom de fichier&gt;
A-6
Guide d'utilisation du composant Wizard de Sentinel
Par exemple, pour autoriser ce type de connexion au fichier
$ESEC_HOME/wizard/syslog/messages.log, vous devez remplacer les param&egrave;tres par les
valeurs ci-apr&egrave;s :
wrapper.app.parameter.7=-connector
wrapper.app.parameter.8=9091
wrapper.app.parameter.9=-messageSize
wrapper.app.parameter.10=5000
wrapper.app.parameter.11=-log
wrapper.app.parameter.12=messages.log
Si aucun chemin d'acc&egrave;s absolu n'est sp&eacute;cifi&eacute; pour le fichier, le chemin d'acc&egrave;s pris en compte
est le chemin d'acc&egrave;s relatif au r&eacute;pertoire $ESEC_HOME/wizard/syslog.
REMARQUE : le fichier journal pourrait devenir relativement volumineux. Par
cons&eacute;quent, assurez-vous que l'emplacement o&ugrave; ces fichiers doivent &ecirc;tre &eacute;crits
dispose d'un espace suffisant (ex. : un r&eacute;pertoire autre que le r&eacute;pertoire
$ESEC_HOME).
Il est recommand&eacute; de disposer d'un minimum de 64 Mo et d'un maximum de 256 Mo pour la
taille du segment de m&eacute;moire JVM pour ex&eacute;cuter le proxy Syslog. Avec cette configuration,
vous devez obtenir les performances suivantes :
Limites du serveur proxy :
 Nombre maximal
d'&eacute;v&eacute;nements
 Taille maximale de la file
d'attente du connecteur
 Nombre maximal
de connecteurs
500 &eacute;v&eacute;nements par seconde (total de tous les ports
du client)
5 000 messages (valeur par d&eacute;faut si aucune valeur
n'est sp&eacute;cifi&eacute;e)
5
Pour changer les param&egrave;tres de m&eacute;moire, modifiez la section suivante du fichier syslog.conf :
# Initial Java Heap Size (in MB)
wrapper.java.initmemory=64
# Maximum Java Heap Size (in MB)
wrapper.java.maxmemory=256
Connecteur Syslog v1.0.2
A-7
Client du connecteur Syslog
Le client du connecteur Syslog se connecte au proxy Syslog pour r&eacute;cup&eacute;rer les messages
auxquels il s'est abonn&eacute;. Les messages collect&eacute;s par le client sont ensuite transmis &agrave; une
sortie standard. La session cliente ouverte sur le serveur ne se termine pas tant que le
processus client ou celui du proxy Syslog n'a pas pris fin. Ce type de fonctionnement avec
transmission vers une sortie standard permet au moteur du collecteur d'utiliser ce connecteur
en mode processus permanent (Persistent Process).
Dans la fen&ecirc;tre de configuration de port du G&eacute;n&eacute;rateur de collecteurs, d&eacute;finissez, pour le port,
un processus permanent de type Rx/Tx ainsi qu'une valeur Rx/Tx (Rx/Tx Value) similaire &agrave; la
syntaxe g&eacute;n&eacute;rique d&eacute;crite ci-apr&egrave;s.
Sous UNIX :
syslog/SyslogConnectorAgent.sh &lt;arguments&gt;
Sous Windows :
syslog\SyslogConnectorAgent.bat &lt;arguments&gt;
Apr&egrave;s avoir d&eacute;fini la zone Rx/Tx Value (Valeur Rx/Tx), s&eacute;lectionnez le collecteur appropri&eacute;
dans la biblioth&egrave;que, puis t&eacute;l&eacute;chargez la configuration du port et, si possible, le collecteur, sur
l'h&ocirc;te Wizard distant.
Le client du connecteur Syslog est con&ccedil;u pour utiliser un certain nombre d'arguments par
d&eacute;faut afin de simplifier son utilisation. La ligne de commande la plus simple pour ce client
doit donc &ecirc;tre la suivante :
Sous UNIX :
syslog/SyslogConnectorAgent.sh –id “MyUniqueID”
Sous Windows :
syslog\SyslogConnectorAgent.bat –id “MyUniqueID”
L'interpr&eacute;tation de cette ligne de commande est la suivante :






connexion au proxy Syslog en processus d'&eacute;coute pour cette connexion sur le port
127.0.0.1:9091 ;
abonnement &agrave; tous les messages envoy&eacute;s contenant tous les champs Facility (Type)
Syslog possibles ;
abonnement &agrave; tous les messages envoy&eacute;s avec tous les champs Level (Niveau)
Syslog possibles ;
abonnement &agrave; tous les messages, quelle que soit l'adresse IP source contenue dans l'ent&ecirc;te IP ;
abonnement &agrave; tous les messages, quelle que soit la d&eacute;signation de l'h&ocirc;te dans le message ;
assignation de l'ID &laquo; MyUniqueID &raquo; aux param&egrave;tres d'abonnement de cette session.
La session cliente du connecteur Syslog est enregistr&eacute;e aupr&egrave;s du proxy Syslog avec le filtre
d'abonnement d&eacute;crit plus haut sous l'ID &laquo; MyUniqueID &raquo;. Cet ID est requis. L'ID a &eacute;t&eacute; choisi
arbitrairement mais doit &ecirc;tre unique parmi tous les ID de sessions clientes du connecteur
Syslog connect&eacute;es au m&ecirc;me proxy Syslog. Si le m&ecirc;me ID est assign&eacute; &agrave; deux clients de
connecteur Syslog diff&eacute;rents, l'une des deux connexions est abandonn&eacute;e. Des deux sessions
ouvertes sous le m&ecirc;me ID, seule la derni&egrave;re &agrave; s'&ecirc;tre ouverte subsiste.
A-8
Guide d'utilisation du composant Wizard de Sentinel
Le filtre g&eacute;n&eacute;rique du filtre pr&eacute;c&eacute;dent peut entra&icirc;ner des efforts de traitement inutiles de la
part du collecteur si les messages qui r&eacute;pondent aux crit&egrave;res du filtre et qui sont tous des
messages re&ccedil;us, ne sont pas pertinents par rapport aux op&eacute;rations effectu&eacute;es par le collecteur
concern&eacute;. Dans l'exemple mentionn&eacute; plus haut, il est &eacute;vident que l'expression de filtre est tr&egrave;s
g&eacute;n&eacute;rale. L'exemple suivant, sous UNIX, propose une description plus restrictive, et donc
plus pr&eacute;cise, des messages effectivement pertinents par rapport au collecteur.
syslog/SyslogConnectorAgent.sh -facilities &quot;user,kernel&quot; levels &quot;warning,error&quot; -sender
&quot;192.16.0.12,192.16.0.0/16&quot; -host
&quot;17.16.8.0/24,10.1.1.13&quot; -id &quot;MyOtherUniqueID&quot;
L'interpr&eacute;tation de cette ligne de commande est la suivante :





connexion au proxy Syslog en processus d'&eacute;coute pour cette connexion sur le port
127.0.0.1:9091 ;
(-facilities) abonnement &agrave; tous les messages envoy&eacute;s dont l'option Facility (Type) est
d&eacute;finie sur &laquo; user &raquo; (utilisateur) ou &laquo; kernel &raquo; (noyau) ;
(-levels) abonnement &agrave; tous les messages envoy&eacute;s dont l'option Level (Niveau) est
d&eacute;finie sur &laquo; warning &raquo; (avertissement) ou &laquo; error &raquo; (erreur) ;
(-sender) abonnement aux messages identifi&eacute;s par l'adresse IP source des messages
entrants dans le proxy Syslog. Cet argument entra&icirc;ne la v&eacute;rification par le proxy Syslog
des informations de l'en-t&ecirc;te IP afin d'en &eacute;valuer les crit&egrave;res. Le filtre peut ainsi &eacute;tablir
une correspondance avec les serveurs de relais Syslog, ces derniers n'&eacute;tant pas identifi&eacute;s
dans les messages qu'ils transmettent. Bien que cet argument ait &eacute;t&eacute; sp&eacute;cialement con&ccedil;u
pour &eacute;tablir des correspondances dans des messages retransmis par le serveur de relais, il
peut &ecirc;tre utilis&eacute; pour filtrer des messages provenant directement d'une source Syslog. Les
serveurs de relais ou les sources Syslog pertinentes sont, dans cet exemple, les suivantes :
192.16.0.12 et 192.16.0.0/16. Le second de ces &eacute;l&eacute;ments repr&eacute;sente une plage d'adresses
IP. Tant que l'adresse IP source est comprise entre l'adresse 192.16.0.0 et l'adresse
192.16.255.255, les messages correspondants passent le filtre. Les noms d'h&ocirc;te ne sont
pas valides pour cet argument car aucune r&eacute;solution de nom d'h&ocirc;te n'est effectu&eacute;e sur les
adresses IP source ;
(-host) abonnement &agrave; des messages Syslog contenant des d&eacute;signations d'h&ocirc;te telles que
17.16.8.0/24 ou 10.1.1.13. Le premier &eacute;l&eacute;ment est une plage d'adresses IP. Si le message
contient une d&eacute;signation d'h&ocirc;te sous forme d'adresse IP et que cette derni&egrave;re est comprise
entre l'adresse 17.16.8.0 et l'adresse 17.16.8.255, le message rempli les conditions et
passe le filtre. Les noms d'h&ocirc;te sont pris en charge par l'argument –host. Ils peuvent &ecirc;tre
indiqu&eacute;s en toutes lettres ou sous forme d'expression r&eacute;guli&egrave;re. Sachez qu'aucune
r&eacute;solution de nom d'h&ocirc;te n'est effectu&eacute;e pour cet argument. Il ne faut pas s'attendre &agrave; ce
que la configuration d'une adresse IP ou d'un nom d'h&ocirc;te permette au filtre d'&eacute;tablir une
correspondance dans le sch&eacute;ma d'assignation des noms. Par exemple, si vous configurez
l'argument tel que –host 172.16.0.90, le filtre n'&eacute;tablit pas de correspondance pour un
message contenant le nom d'h&ocirc;te &laquo; epsilon1 &raquo; (par exemple), m&ecirc;me si les services de
r&eacute;solution de nom ont auparavant effectu&eacute; une assignation entre 172.19.0.90 et
&laquo; epsilon1 &raquo;. Par cons&eacute;quent, une correspondance peut uniquement &ecirc;tre &eacute;tablie entre une
d&eacute;signation IP d'h&ocirc;te et des adresses IP ou, entre une d&eacute;signation nominale d'h&ocirc;te et des
noms d'h&ocirc;te.
Connecteur Syslog v1.0.2
A-9
Le filtre de l'exemple ci-dessus peut &ecirc;tre d&eacute;crit par l'expression bool&eacute;enne suivante :
(Facility=”user” ou Facility=”kernel”) et (Level=”warning”
ou Level=”error”) et (Sender=”192.16.0.12” ou
Sender=192.16.0.0/16”) et (Host=”17.16.8.0/24” ou
Host=”10.1.1.13”)
Le nombre de combinaisons possibles pour ces arguments est le produit cart&eacute;sien de types
d'arguments, o&ugrave; chaque type d'argument correspond &agrave; un ensemble. D'apr&egrave;s le site
PRINCIPIA CYBERNETICA WEB
(http://pespmc1.vub.ac.be/ASC/CARTES_PRODU.html), le produit cart&eacute;sien se d&eacute;finit
comme suit :
&laquo; Arrangement de tous les N-uplets ordonn&eacute;s pouvant &ecirc;tre form&eacute;s de telle sorte qu'ils
contiennent un &eacute;l&eacute;ment du premier ensemble, un &eacute;l&eacute;ment du deuxi&egrave;me ensemble, etc. et
un &eacute;l&eacute;ment du N-i&egrave;me ensemble. Cet arrangement peut &ecirc;tre consid&eacute;r&eacute; comme un espace &agrave;
N dimensions dans lequel chaque N-uplet d&eacute;signe une case. Le produit cart&eacute;sien le plus
simple de deux ensembles est une table bidimensionnelle ou un tableau &agrave; double entr&eacute;e
dont les cases peuvent &ecirc;tre utilis&eacute;es pour entrer des fr&eacute;quences, identifier des possibilit&eacute;s
(voir Relation) ou des impossibilit&eacute;s (voir Contrainte) ou pour repr&eacute;senter sous forme
graphique les transitions qui constituent le comportement d'un syst&egrave;me. &raquo; (Krippendorff)
REMARQUE : au moment de la publication de ce document, le site Web mentionn&eacute;
ci-dessus &eacute;tait disponible.
Cela implique qu'en th&eacute;orie, beaucoup de messages distincts peuvent passer le filtre. Seule la
pratique peut r&eacute;ellement d&eacute;terminer le nombre de ces messages distincts.
Outre les arguments de ligne de commande de filtrage, il existe les arguments de ligne de
commande facultatifs suivants :
-proxy &lt;adresse du serveur&gt;:&lt;n&deg;
de port&gt;
-log &lt;nom de fichier&gt;
Adresse et num&eacute;ro de port de
connexion pour l'h&ocirc;te qui h&eacute;berge le
proxy du serveur.
Permet une connexion au fichier
sp&eacute;cifi&eacute;.
L'argument –proxy permet de configurer le client du connecteur afin qu'il se connecte soit &agrave;
un port TCP autre que le port TCP par d&eacute;faut, soit &agrave; un h&ocirc;te autre que l'h&ocirc;te local. Par d&eacute;faut,
le proxy Syslog attend la connexion d'un client du connecteur sur le port 9091. Lorsque le
port 9091 n'est pas appropri&eacute; pour l'h&ocirc;te h&eacute;bergeant le proxy Syslog, il peut &ecirc;tre red&eacute;fini au
d&eacute;marrage du proxy et, au moyen de l'argument –proxy, les clients peuvent recevoir
l'instruction de se connecter &agrave; un autre port. En outre, il est possible de d&eacute;finir l'h&ocirc;te cible du
client du connecteur comme h&ocirc;te autre que l'h&ocirc;te local. Lorsqu'un proxy Syslog accepte des
sessions clientes de connecteurs distants, un client du connecteur Syslog peut &ecirc;tre configur&eacute;
de mani&egrave;re &agrave; &eacute;tablir une connexion avec ce proxy Syslog distant. L'adresse IP et le port client
du connecteur pour le proxy Syslog doivent alors &ecirc;tre configur&eacute;s &agrave; l'aide de
l'argument -proxy.
A-10
Guide d'utilisation du composant Wizard de Sentinel
L'argument –log active la fonctionnalit&eacute; de consignation du client du connecteur. Ce dernier
&eacute;crit les messages au fur et &agrave; mesure qu'il les re&ccedil;oit du proxy Syslog. Contrairement au fichier
journal du proxy, le contenu du message est filtr&eacute; en fonction des informations d'abonnement
enregistr&eacute;es et aucun message consign&eacute; ne contiendra le champ de priorit&eacute; &lt;PRI&gt;. Le contenu
correspondra donc &agrave; celui que le collecteur re&ccedil;oit de ce m&ecirc;me client de connecteur Syslog.
REMARQUE : le fichier journal pourrait devenir relativement volumineux. Par
cons&eacute;quent, assurez-vous que l'emplacement o&ugrave; ces fichiers doivent &ecirc;tre &eacute;crits
dispose d'un espace suffisant (ex. : un r&eacute;pertoire autre que le r&eacute;pertoire
$ESEC_HOME).
Exemple d'utilisation des arguments –proxy et –log (UNIX) :
syslog/SyslogConnectorAgent.sh –proxy localhost:9091 –log
connector_messages.log –id “MyUniqueID”
Configuration de la consignation pour le serveur
proxy Syslog
Le serveur proxy Syslog &eacute;crit les messages de consignation dans le fichier suivant :
$ESEC_HOME/wizard/syslog/syslog_trace*.*.log
Les niveaux de consignation peuvent &ecirc;tre chang&eacute;s en modifiant le fichier des propri&eacute;t&eacute;s de
la consignation :
$ESEC_HOME/wizard/syslog/syslog_log.prop
Fichier des propri&eacute;t&eacute;s de consignation tel qu'indiqu&eacute; dans le fichier syslog.conf :
wrapper.java.additional.1=-Djava.util.logging.config.file=syslog_log.prop
Pour adapter les niveaux de consignation, modifiez la section suivante :
###### Configure the logging levels
# Logging level rules are read from the top down. Start
with the most general, then get more specific.
…
######
Connecteur Syslog v1.0.2
A-11
Exemples d'arguments de ligne de commande
Il est possible d'ex&eacute;cuter le serveur proxy Syslog et le connecteur client sans se servir des
scripts fournis avec le produit. Pour cela, vous devez utiliser les arguments de ligne de
commande d&eacute;crit dans cette section.
Proxy Syslog :
java –server –Xms64m –Xmx256m –
Djava.util.logging.config.file=syslog-logger.prop -jar
syslog.jar [-udp &lt;port&gt;] [-tcp &lt;port&gt;] [-connector
&lt;port&gt;] [-private|-shared] [-log &lt;chemin du fichier&gt;]
[-messageSize &lt;nombre&gt;]
Arguments valides :
–server
–Xms64m
–Xmx256m
–Djava.util.
logging.config.
file
-udp &lt;port&gt;
-tcp &lt;port&gt;
-connector &lt;port&gt;
-private
-shared
-log
-help
A-12
&Agrave; utiliser syst&eacute;matiquement. Utilis&eacute; par JVM.
Cet argument indique la taille de la m&eacute;moire initiale pour le
proxy Syslog. 64 Mo recommand&eacute;s.
Cet argument indique la taille maximale de la m&eacute;moire pour le
proxy Syslog. Valeur par d&eacute;faut recommand&eacute;e : 256 Mo. Il
permet au serveur proxy de g&eacute;rer les pics de volume au niveau
des donn&eacute;es, la multiplicit&eacute; des connecteurs clients ainsi que les
m&eacute;moires tampons lorsque les connecteurs se connectent &agrave;
nouveau. Cette valeur peut &ecirc;tre augment&eacute;e si la m&eacute;moire
disponible, les volumes de donn&eacute;es et le nombre de connecteurs
clients qui se connectent le permettent. Elle ne doit pas d&eacute;passer
les 1,2 Go par serveur proxy Syslog. Ex. : –Xmx1200m.
Cette propri&eacute;t&eacute; indique le nom du fichier ou le chemin d'acc&egrave;s au
fichier de configuration de la consignation des d&eacute;bogages. Elle
doit pointer vers l'emplacement de stockage du fichier. Si aucun
chemin n'est sp&eacute;cifi&eacute;, une recherche est lanc&eacute;e dans le r&eacute;pertoire
actuel depuis l'emplacement d'ex&eacute;cution de JVM. Exemple :
%workbench_home%\syslog-logger.prop
Port d'&eacute;coute pour les messages UDP provenant de
p&eacute;riph&eacute;riques. Valeur par d&eacute;faut : 514.
Port d'&eacute;coute pour les connexions TCP provenant de
p&eacute;riph&eacute;riques. Valeur par d&eacute;faut : 1468.
Port d'&eacute;coute pour les connexions TCP provenant des
connecteurs. Valeur par d&eacute;faut : 9091.
&Eacute;coute les connexions provenant de connecteurs sur une boucle
(valeur par d&eacute;faut).
&Eacute;coute les connexions des connecteurs &agrave; l'h&ocirc;te local (valeur par
d&eacute;faut). Si cet argument n'est pas d&eacute;fini, une erreur de
communication est g&eacute;n&eacute;r&eacute;e.
Nom du fichier journal dans lequel &eacute;crire.
Message d'aide.
Guide d'utilisation du composant Wizard de Sentinel
-version
-messageSize
Version du proxy (0.91-poc).
Nombre de messages plac&eacute;s en m&eacute;moire tampon lors d'une
interruption temporaire de connexion et qui doivent &ecirc;tre
renvoy&eacute;s plus tard. Le nombre maximal de ces messages est
5 000. Ils doivent &ecirc;tre r&eacute;pertori&eacute;s sans virgules entre eux. Si la
valeur de cette option n'est pas pr&eacute;cis&eacute;e ou qu'elle d&eacute;passe 5 000,
la commande est d&eacute;finie par d&eacute;faut sur 5 000.
Client du connecteur Syslog :
java -jar syslogconnector.jar -id &lt;UniqueId&gt; [-proxy
&lt;h&ocirc;te:num&eacute;ro de port&gt;] [-facilities &lt;type1,type2,…&gt;] [levels &lt;niveau1, niveau2,…&gt;] [-sender &lt;IP
source1[/masque de sous-r&eacute;seau entier], IP
source2[/masque de sous-r&eacute;seau entier],…&gt;] [-host &lt;
IP1[/masque de sous-r&eacute;seau entier]|Nom d'h&ocirc;te1 | Regex
de nom d'h&ocirc;te1, IP2[/masque de sous-r&eacute;seau entier]|Nom
d'h&ocirc;te2 | Regex de nom d'h&ocirc;te2, …&gt;] [-log &lt;chemin
d'acc&egrave;s au fichier journal&gt;]
Arguments valides :
-proxy &lt;h&ocirc;te:num&eacute;ro de port&gt;
-facilities &lt;type1,type2,…&gt;
-levels &lt;niveau1, niveau2,…&gt;
-sender &lt;IP source1[/masque de
sous-r&eacute;seau entier], IP
source2[/masque de sous-r&eacute;seau
entier],…&gt;
-host &lt; IP1[/masque de sousr&eacute;seau entier]|Nom d'h&ocirc;te1 |
Regex de nom d'h&ocirc;te1, IP2[/masque
de sous-r&eacute;seau entier]…&gt;
-log &lt;chemin d'acc&egrave;s au fichier
journal&gt;
-id &lt;UniqueId&gt;
-help
-version
Port de l'h&ocirc;te du proxy Syslog auquel se
connecter. Valeur par d&eacute;faut :
127.0.0.1:9091.
Liste des types souhait&eacute;s s&eacute;par&eacute;s par des
virgules. Valeur par d&eacute;faut : tous les types.
Liste des niveaux de gravit&eacute; souhait&eacute;s
s&eacute;par&eacute;s par des virgules. Valeur par
d&eacute;faut : tous les niveaux.
Liste des exp&eacute;diteurs souhait&eacute;s s&eacute;par&eacute;s par
des virgules. Valeur par d&eacute;faut : tous
les exp&eacute;diteurs.
Liste des h&ocirc;tes souhait&eacute;s s&eacute;par&eacute;s par des
virgules. Valeur par d&eacute;faut : tous les h&ocirc;tes.
Nom du fichier journal dans lequel &eacute;crire.
Identit&eacute; du connecteur (OBLIGATOIRE).
Message d'aide.
Version du connecteur (0.91-poc).
Connecteur Syslog v1.0.2
A-13
Tableau des types (facility) pris en charge
Une distinction majuscule/minuscule est faite pour les noms de types (facility) pris en charge
dans la ligne de commande du client du connecteur Syslog.
KERNEL
USER
MAIL
DAEMON
AUTH
SYSLOG
LPR
NEWS
UUCP
CRON
SECURITY
FTP DAEMON
NTP
LOG AUDIT
LOG ALERT
CLOCK DAEMON
LOCAL0
LOCAL1
LOCAL2
LOCAL3
LOCAL4
LOCAL5
LOCAL6
LOCAL7
Tableau des niveaux (level) pris en charge
Une distinction majuscule/minuscule est faite pour les noms des niveaux (level) pris en
charge dans la ligne de commande du client du connecteur Syslog.
EMERGENCY
ALERT
CRITICAL
ERROR
WARNING
NOTICE
INFORMATIONAL
DEBUG
Remarques sur le d&eacute;ploiement
Messages &agrave; retransmettre au proxy Syslog
La plupart des serveurs Syslog sont capables de rediriger les messages Syslog qu'ils re&ccedil;oivent
vers un autre serveur Syslog, de m&ecirc;me qu'ils peuvent traiter les messages entrants. Dans un
sc&eacute;nario de d&eacute;ploiement, il est tr&egrave;s tentant de modifier un h&ocirc;te de consignation existant pour
qu'il retransmette des messages au proxy Syslog. Cependant, ce choix de d&eacute;ploiement n'est
pas si judicieux, compte tenu des comportements probl&eacute;matiques de certains serveurs Syslog.
Il a &eacute;t&eacute; constat&eacute; que les biblioth&egrave;ques du serveur Syslog sous Solaris 7 et 9 et sous Linux 8
(versions repr&eacute;sentatives d'autres versions) n'ins&egrave;rent pas le nom de l'h&ocirc;te ou l'adresse IP de
l'h&ocirc;te dans les messages qu'elles envoient de l'h&ocirc;te. Le serveur Syslog de r&eacute;ception associe
l'adresse IP source ou le nom de l'h&ocirc;te (par le biais de la r&eacute;solution de nom) aux messages
re&ccedil;us dans les fichiers journaux qu'il g&eacute;n&egrave;re. Par exemple, lorsque Solaris 9 fait office de
relais pour le proxy Syslog, il n'ins&egrave;re pas l'adresse IP ou le nom de l'h&ocirc;te du message source
dans les messages qu'il retransmet. Ce comportement n'est pas normal, car le fichier journal
du syst&egrave;me Solaris 9 contient une adresse IP et un nom d'h&ocirc;te. Faute de nom d'h&ocirc;te ins&eacute;r&eacute;
dans le message, le proxy Syslog est oblig&eacute; d'en d&eacute;duire que le message provient du serveur
de relais et non de l'h&ocirc;te source effectif. Le proxy Syslog ins&egrave;re l'adresse IP de l'h&ocirc;te relais
dans chaque message re&ccedil;u d'un relais Solaris 9. Les cons&eacute;quences de cet &eacute;tat de faits ne sont
pas anodines. En effet, l'origine d'un &eacute;v&eacute;nement de s&eacute;curit&eacute; n'est pas visible pour le collecteur
et n'est donc pas visible non plus pour la solution Sentinel.
A-14
Guide d'utilisation du composant Wizard de Sentinel
Il est par cons&eacute;quent fortement recommand&eacute; de ne pas configurer le proxy comme
destinataire des messages &agrave; retransmettre si ces derniers ne contiennent pas l'adresse IP et le
nom d'h&ocirc;te de la v&eacute;ritable source de l'&eacute;v&eacute;nement. Cette recommandation entra&icirc;ne un certain
nombre d'implications logistiques importantes si le proxy doit &ecirc;tre utilis&eacute; en environnement
de production.
Exemple :
Imaginons qu'un &eacute;v&eacute;nement &laquo; su &raquo; se produise sur l'h&ocirc;te Lambda (172.16.0.70) o&ugrave; est ex&eacute;cut&eacute;
Solaris 7. Lambda retransmet les messages Syslog &agrave; Delta (172.16.0.72) o&ugrave; est ex&eacute;cut&eacute;
Solaris 9, qui, &agrave; son tour, sert de relais pour le proxy Syslog. Les messages suivants sont
g&eacute;n&eacute;r&eacute;s par le connecteur Sentinel.
Proxy :
&lt;37&gt;Apr 02 06:54:11 [172.16.0.72.151.234] su: 'su root'
succeeded for oespadm on /dev/pts/0 [&laquo; su root &raquo; s'est
correctement ex&eacute;cut&eacute; pour oespadm sur /dev/pts/0]
Client du connecteur :
Apr 02 06:54:11 [172.16.0.72.151.234] su: 'su root'
succeeded for oespadm on /dev/pts/0 [&laquo; su root &raquo; s'est
correctement ex&eacute;cut&eacute; pour oespadm sur /dev/pts/0]
Le suivi de paquet du m&ecirc;me message arrivant d'abord sur Delta avant d'&ecirc;tre retransmis au
proxy Syslog sur pes020.esecurity.net se pr&eacute;sente comme suit :
# snoop -x0 udp port 514
Using device /dev/dmfe0 (promiscuous mode) [P&eacute;riph&eacute;rique
utilis&eacute; /dev/dmfe0 (mode espion)]
lambda -&gt; delta
SYSLOG C port=42830 &lt;37&gt;Apr 1 18:54:11
0: 0000 83cd 1395 0040 2082 202b 0800 4500
+..E.
16: 0061 fa09 4000 ff11 28d3 ac10 0046 ac10
.a&uacute;.@...(....F..
32: 0048 a74e 0202 004d 5d7e 3c33 373e 4170
.H.N...M]~&lt;37&gt;Ap
48: 7220 2031 2031 383a 3534 3a31 3120 7375
18:54:11 su
64: 3a20 2773 7520 726f 6f74 2720 7375 6363
succ
80: 6565 6465 6420 666f 7220 6f65 7370 6164
oespad
.......@ .
r
1
: 'su root'
eeded for
Connecteur Syslog v1.0.2
A-15
96: 6d20 6f6e 202f 6465 762f 7074 732f 30
/dev/pts/0
m on
delta -&gt; pes020.esecurity.net SYSLOG C port=38890 &lt;37&gt;Apr
1 18:54:11
0: 000a 5e02 a335 0000 83cd 1395 0800 4500
..^..5........E.
16: 0061 304b 4000 ff11 f031 ac10 0048 ac10
.a0K@....1...H..
32: 02a6 97ea 0202 004d 6a82 3c33 373e 4170
.......Mj.&lt;37&gt;Ap
48: 7220 2031 2031 383a 3534 3a31 3120 7375
18:54:11 su
64: 3a20 2773 7520 726f 6f74 2720 7375 6363
succ
80: 6565 6465 6420 666f 7220 6f65 7370 6164
oespad
96: 6d20 6f6e 202f 6465 762f 7074 732f 30
/dev/pts/0
r
1
: 'su root'
eeded for
m on
Le message suivant est enregistr&eacute; pour l'h&ocirc;te Delta :
Apr 1 18:54:11 lambda su: 'su root' succeeded for oespadm
on /dev/pts/0 (&laquo; su root &raquo; s'est correctement ex&eacute;cut&eacute;
pour oespadm sur /dev/pts/0)
A-16
Guide d'utilisation du composant Wizard de Sentinel
B
Configuration d'un serveur de socket sur
l'h&ocirc;te UNIX
REMARQUE: les termes Agent et Collecteur sont interchangeables. Le terme
Collecteur sera utilis&eacute; dans la suite de cette documentation.
Un serveur de socket fournit un point limite aux connexions par socket du Gestionnaire des
collecteurs Wizard sous UNIX. Par exemple, il peut &ecirc;tre utile d'en configurer un si vous
souhaitez v&eacute;rifier un fichier journal ou une machine UNIX depuis un h&ocirc;te Wizard distant et
que vous avez besoin de traverser un pare-feu pour atteindre le port de la machine UNIX.
Les instructions suivantes vous permettent de configurer ce serveur de socket sur un h&ocirc;te
UNIX et de v&eacute;rifier un fichier journal ASCII sur cet h&ocirc;te.
Pour configurer un serveur de socket sur un h&ocirc;te UNIX
1. Cr&eacute;ez le script destin&eacute; &agrave; transmettre les donn&eacute;es &agrave; la connexion par socket TCP. Pour
cela, cr&eacute;ez un nouveau fichier texte et copiez-y les lignes suivantes, en rempla&ccedil;ant la
variable &lt;fichier journal&gt; par le chemin d'acc&egrave;s complet du fichier que vous
souhaitez v&eacute;rifier :
#!/bin/sh
/bin/tail -f &lt;fichier journal&gt;
Enregistrez le fichier (le chemin d'acc&egrave;s et le nom du fichier sont choisis &agrave; titre
d'exemple), sachant que ce dernier doit &ecirc;tre conserv&eacute; &agrave; un emplacement o&ugrave; il n'est pas
susceptible d'&ecirc;tre supprim&eacute; et qu'il doit porter un nom faisant r&eacute;f&eacute;rence &agrave; sa fonction.
Exemple :
/usr/local/bin/fichierjournalserveur
2. Pour le processus du serveur, s&eacute;lectionnez un port TCP qui ne requiert pas
d'autorisation particuli&egrave;re sur l'h&ocirc;te UNIX. Le num&eacute;ro de ce port sans autorisation est
un num&eacute;ro choisi arbitrairement entre les valeurs 1 025 et 65 535. Pour v&eacute;rifier que
ce num&eacute;ro de port n'est pas d&eacute;j&agrave; utilis&eacute;, servez-vous de la commande suivante
(remplacez &lt;num&eacute;ro de port&gt; par le port souhait&eacute;) :
netstat -an | grep LISTEN | grep &lt;num&eacute;ro de port&gt;
Si une ligne semblable &agrave; la ligne ci-dessous est g&eacute;n&eacute;r&eacute;e, cela signifie que le port est d&eacute;j&agrave;
utilis&eacute; et que vous devez en choisir un autre.
*.5555*.*0000 LISTEN
Configuration d'un serveur de socket sur un h&ocirc;te UNIX
B-1
3. Sous une session d'utilisateur root, modifiez le fichier /etc/services et ajoutez une
entr&eacute;e pour le nouveau service de socket &agrave; la fin du fichier. Dans l'exemple &agrave; suivre,
une ligne est ajout&eacute;e pour un service intitul&eacute; &laquo; syslog_verif &raquo; et configur&eacute; pour lancer
un processus d'&eacute;coute sur le port TCP 5555 :
syslog_verif5555/tcp
4. Modifiez le fichier /etc/inetd.conf et ajoutez une entr&eacute;e pour le nouveau service de
socket &agrave; la fin du fichier. Dans l'exemple &agrave; suivre, une ligne est ajout&eacute;e pour un
service intitul&eacute; &laquo; syslog_verif &raquo; et configur&eacute; pour ex&eacute;cuter le script
/usr/local/bin/in.syslog_verif :
Les &eacute;l&eacute;ments suivants doivent &ecirc;tre entr&eacute;s en tant que champs s&eacute;par&eacute;s par des tabulations
sur une seule ligne du fichier, quelle que soit leur pr&eacute;sentation dans le pr&eacute;sent document :
syslog_verif stream tcp nowait nobody
/usr/local/bin/in.syslog_verif in.syslog_verif
5. Ex&eacute;cutez la commande suivante pour activer le processus du serveur de socket :
kill -HUP `/bin/ps -ef | grep inetd | grep -v grep |
awk '{print $2}'`
6. Proc&eacute;dez &agrave; des essais avec le serveur de socket. Pour cela, lancez des tentatives
Telnet sur le port de votre choix. Si tout va bien, vous obtenez le contenu du fichier
journal en retour :
% telnet localhost 5555
Pour quitter la session Telnet, tapez &laquo; ^] &raquo; (control-]), puis &laquo; quit &raquo; &agrave; l'invite de
commande telnet.
B-2
Guide d'utilisation du composant Wizard de Sentinel
Index
ajout
ajout d'un &eacute;tat &agrave; un mod&egrave;le ........................ 3-5
assignation d'un nouveau nom
fichier de recherche.................................. 2-10
h&ocirc;te Wizard ................................................ 2-8
autorisation utilisateur
gestion des collecteurs ............................... 2-2
collecteur
composants ................................................ 1-3
cr&eacute;ation ...................................................... 3-4
mise &agrave; niveau ........................................... 2-20
t&eacute;l&eacute;chargement &agrave; partir d'un seul h&ocirc;te ..... 2-18
t&eacute;l&eacute;chargement de plusieurs collecteurs
vers un r&eacute;seau..................................... 2-19
t&eacute;l&eacute;chargement vers plusieurs h&ocirc;tes........ 2-16
t&eacute;l&eacute;chargement vers un h&ocirc;te .................... 2-15
commande d'analyse
&eacute;diteur de texte........................................... 3-8
&eacute;diteur plein &eacute;cran...................................... 3-7
LOOKUP() .................................................. 1-4
modification ................................................ 3-8
TRANSLATE .............................................. 1-4
configuration
fichier de mod&egrave;le ........................................ 3-4
fichier de recherche.................................. 3-10
fichiers de param&egrave;tre.................................. 3-9
cr&eacute;ation
fichier de mod&egrave;le ........................................ 3-4
fichiers de recherche ................................ 3-10
port ........................................................... 3-17
cr&eacute;ation de fichiers de param&egrave;tre ............ 3-9
Receive (R&eacute;ception) ................................... 1-6
Receive (Recevoir) ..................................... 1-5
Receive (Rx)............................................... 1-5
Transmit (Transmettre)............................... 1-5
Transmit (Tx) .............................................. 1-5
&eacute;tat Arr&ecirc;ter................................................1-5
&eacute;tat Decide (D&eacute;cider) ....................... 1-5, 1-8
&eacute;tat Parse (Analyser)........................ 1-5, 1-8
&eacute;tat Receive (R&eacute;ception)..........................1-6
&eacute;tat Receive (Recevoir)............................1-5
&eacute;tat Transmit (Transmettre)......................1-5
&eacute;tats Next (Suivant) et Go To
(Retourner &agrave;)........................................1-5
exportation
h&ocirc;te Wizard ................................................ 2-8
fichier d'assignation
d&eacute;finition ..................................................... 1-9
fichier de mod&egrave;le
configuration ............................................... 3-4
cr&eacute;ation....................................................... 3-4
d&eacute;finition ..................................................... 1-5
modification ................................................ 2-9
suppression .............................................. 2-10
fichier de param&egrave;tre
configuration ............................................... 3-9
cr&eacute;ation....................................................... 3-9
d&eacute;finition ..................................................... 1-9
fichier de recherche
d&eacute;marrage du G&eacute;n&eacute;rateur de collecteurs 2-7
assignation d'un nouveau nom ................. 2-10
configuration ............................................. 3-10
cr&eacute;ation..................................................... 3-10
d&eacute;finition ..................................................... 1-9
suppression .............................................. 2-11
donn&eacute;es du collecteur .............................. 2-2
G&eacute;n&eacute;rateur de collecteurs ........................1-2
d&eacute;bogage
port ........................................................... 2-14
&eacute;diteur de texte
entr&eacute;e d'une commande d'analyse............. 3-8
&eacute;diteur plein &eacute;cran
entr&eacute;e d'une commande d'analyse............. 3-7
&eacute;tat
Arr&ecirc;ter ........................................................ 1-5
Decide (D&eacute;cider) ................................. 1-5, 1-8
Next (Suivant) et Go To (Retourner &agrave;) ....... 1-5
Parse (Analyser).................................. 1-5, 1-8
d&eacute;marrage .................................................. 2-7
g&eacute;n&eacute;ration
scripts ....................................................... 3-11
Gestionnaire des collecteurs ....................1-2
arr&ecirc;t sous UNIX .......................................... 2-4
d&eacute;marrage sous UNIX ................................ 2-4
h&ocirc;te
t&eacute;l&eacute;chargement......................................... 2-17
t&eacute;l&eacute;chargement de ports vers des h&ocirc;tes... 2-18
Index - i
t&eacute;l&eacute;chargement d'un collecteur &agrave; partir d'un
seul h&ocirc;te .............................................. 2-18
h&ocirc;te Wizard
assignation d'un nouveau nom................... 2-8
autorisation - Collector Administration
(Administration des collecteurs)............. 2-2
autorisation - Control Collectors
(Contr&ocirc;le des collecteurs)...................... 2-2
autorisation - View Collectors
(Affichage des collecteurs) .................... 2-2
exportation.................................................. 2-8
propri&eacute;t&eacute;s ................................................... 2-9
red&eacute;marrage............................................... 2-8
suppression ................................................ 2-8
LOOKUP() ................................................ 1-4
mise &agrave; niveau
collecteurs ................................................ 2-20
mod&egrave;le
ajout d'un &eacute;tat ............................................. 3-5
modification
commande d'analyse.................................. 3-8
fichier de mod&egrave;le ........................................ 2-9
port ........................................................... 2-12
mot de passe du Gestionnaire des
collecteurs
changement (UNIX).................................... 2-7
changement (Windows).............................. 2-6
Novell
assistance technique................................ 1-11
site Web ................................................... 1-11
port
arr&ecirc;t - interface utilisateur graphique........ 2-12
cr&eacute;ation .................................................... 3-17
d&eacute;bogage ................................................. 2-14
d&eacute;marrage - interface
utilisateur graphique ............................ 2-12
modification .............................................. 2-12
suppression .............................................. 2-13
t&eacute;l&eacute;chargement vers plusieurs h&ocirc;tes........ 2-18
red&eacute;marrage
h&ocirc;te Wizard ................................................ 2-8
Rx1-5
Rx/Tx Value (valeur Rx/Tx)
processus permanent ............................... 3-19
processus temporaire ............................... 3-19
script
assignation d'une s&eacute;quence
de d&eacute;marrage ...................................... 3-13
g&eacute;n&eacute;ration ................................................ 3-11
suppression .............................................. 2-11
s&eacute;quence de d&eacute;marrage
assignation &agrave; un script.............................. 3-13
suppression .............................................. 2-11
services du Gestionnaire des collecteurs
arr&ecirc;t sous Windows .................................... 2-3
arr&ecirc;t sous Windows (ligne de commande) . 2-4
d&eacute;marrage sous Windows .......................... 2-3
d&eacute;marrage sous Windows
(ligne de commande) ............................. 2-4
installation (Windows)................................. 2-5
suppression (Windows) .............................. 2-5
SNMP Trap (trappes SNMP)
acc&egrave;s ........................................................ 3-21
serveur de socket
configuration..............................................B-1
processus de serveur de socket
configuration..............................................B-1
suppression
fichier de mod&egrave;le ...................................... 2-10
fichier de recherche .................................. 2-11
h&ocirc;te Wizard ................................................ 2-8
port ........................................................... 2-13
script......................................................... 2-11
s&eacute;quence de d&eacute;marrage........................... 2-11
t&eacute;l&eacute;chargement
processus permanent.............................3-18
collecteur vers l'h&ocirc;te ................................. 2-15
collecteur vers plusieurs h&ocirc;tes ................. 2-16
h&ocirc;te .......................................................... 2-17
plusieurs collecteurs vers un r&eacute;seau ........ 2-19
valeur Rx/Tx ............................................. 3-19
t&eacute;l&eacute;chargement de collecteurs ..... 2-15, 2-16
processus temporaire.............................3-18
TRANSLATE ............................................1-4
port Wizard ...................................... Voir port
Rx/Tx Value (valeur Rx/Tx) ...................... 3-19
propri&eacute;t&eacute;s
h&ocirc;te Wizard ................................................ 2-9
ii
Sentinel Wizard User’s Guide
trappe SNMP ..........................................3-20
Tx 1-5
type de connexion
File All (tout le fichier) ............................... 3-15
File New (fichier actualis&eacute;) ....................... 3-14
None (aucun)............................................ 3-17
Persistent Process
(processus permanent)........................ 3-15
Serial (s&eacute;rie) ............................................. 3-14
SNMP Trap (trappes SNMP) .................... 3-16
Socket ...................................................... 3-14
Transient Process (processus temporaire)3-16
Index
iii
iv
Sentinel Wizard User’s Guide
">
こんにちは！私はAIチャットボットで、Novell 5 Wizard User's Guideに関するサポートをするために特別にトレーニングされています。すでにドキュメントを徹底的に確認しており、必要な情報を正確に見つけたり、内容をわかりやすく説明したりできます。特定の機能に関するガイダンス、トラブルシューティングの手順、または一般的な使い方について知りたい場合でも、遠慮なく質問してください。問題やニーズについて詳細を教えていただければ、より正確かつ効果的にお手伝いできます！