すべてのサービスにホストが必要です。ホストの設定後、このホストにサービスを割り当て、さらに、このホストからNetWitness Suite導入環境の別のホストにサービスを割り当てることができます。
ステップ1. ホストの導入
- ホストを導入します。
物理ホスト（RSAアプライアンス）、オンプレミスの仮想ホスト、AWSの仮想ホスト、Azureの仮想ホストを導入できます。ホストを導入する手順については、次のガイドを参照してください。- RSA NetWitness® Suite物理ホスト導入ガイド
- RSA NetWitness® Suite仮想ホスト導入ガイド
- RSA NetWitness® Suite AWS導入ガイド
- RSA NetWitness® Suite Azure導入ガイド
- ［管理］＞［ホスト］に移動します。
［新しいホスト］ダイアログが表示され、導入したホストが表示されます。 - 有効化するホストを選択します。
［有効化］メニュー オプションがアクティブになります。 - 有効化をクリックします。
- 有効化したホストを選択します。
ホストは［ホスト］ビューに表示されます。この時点では、ホストでサービスをインストールできます。
ステップ2. ホストへのサービスのインストール
各サービスはプラグ インとしてモデル化され、ホストの機能に従って有効化または無効化されます。
前提条件
次のマシン（物理または仮想）がインストールされている必要があります。NetWitness Server、Broker、Concentrator、Decoder、Log Decoder、Archiver、Warehouse、Malware Analysisサーバ、Event Stream Analysisサーバ。
手順
サービスをホストに追加するには、次の手順を実行します。
- NetWitness Suiteで、［管理］＞［ホスト］に移動します。
［ホスト］ビューが表示されます。 - サービスをインストールするホストを選択します（たとえば、Event Stream Analysis）。
- ツールバーの
（インストール アイコン）をクリックします。
［サービスのインストール］ダイアログが表示されます。 - ［ホスト タイプ］ドロップダウン リストからサービス（ESAプライマリなど）を選択します。
［インストール サービス］ダイアログで
（インストール コマンド ボタン）がアクティブになります。 - （インストール コマンド ボタン）をクリックします。
ステップ3. 信頼関係接続のためのSSLポートの確認
各コア サービスは、暗号化されていない非SSLポートと暗号化されているSSLポートの2つのポートを提供し、信頼関係接続をサポートします。信頼関係接続では、暗号化されているSSLポートを使用します。
前提条件
信頼関係接続を確立するには、各NetWitness Suiteコア サービスを10.4以降にアップグレードする必要があります。信頼関係接続は、NetWitness Suiteコア10.3.x以前とは下位互換性互換性がありません。
暗号化されているSSLポート
10.4以降を新規インストールするかまたはアップグレードすると、デフォルトで次の2つの設定を使用して信頼関係接続が確立されます。
- SSLを有効にします。
- コア サービスはSSLポートに接続し、通信が暗号化されます。
それぞれのNetWitness Suiteコア サービスは、次の2つのポートを提供します。
- 暗号化されていない非SSLポート
例： Archiver 50008 - 暗号化されているSSLポート
例： Archiver 56008
SSLポートは、非SSLポート+6000です。
次の表に、すべてのNetWitness Suiteサービスと対応するポートを示して、それぞれのコア サービスが2つのポートを提供していることを示します。ここに示されているポート番号はすべてTCP用です。
ステップ4. サービスへのアクセスの管理
信頼関係接続では、サービスはNW Serverを明示的に信頼し、ユーザの管理と認証を行います。このTRUSTにより、［管理］＞［サービス］にあるサービスは、NetWitness Suiteコア サービスで認証情報を定義する必要がなくなります。サーバで認証されたユーザは、パスワードを入力せずにサービスにアクセスできます。
信頼関係接続のテスト
前提条件
- ユーザにロールが割り当てられている必要があります。
詳細については、「システム セキュリティとユーザ管理ガイド」の「ユーザの追加とロールの割り当て」トピックを参照してください。 - ユーザは次のタスクを実行する必要があります。
- NetWitness Suiteにログオンしてサーバで認証される
- サービスにアクセスできるようにする
処理手順
- NetWitness Suiteで、［管理］＞［サービス］に移動します。
［サービス］ビューが表示されます。
- テストするサービス（Concentratorなど）を選択し、
をクリックします。
［サービスの編集］ダイアログが表示されます。
- 11.0.0.0の新規インストール環境では、正確なポート番号が設定されています。［ポート］フィールドを設定する必要はありません。次の手順に進みます。
11.0.0.0にアップグレードした環境、または11.0.0.0のサーバと10.3のホストの混在環境の場合、［SSL］の選択を解除してから再び選択して、［ポート］を更新する必要があります。更新を行うと、［ポート］番号はサービスの暗号化されたSSLポートに変わります。 - 認証情報なしで接続をテストするには、［ユーザ名］を削除します。
- ［接続のテスト］をクリックします。
「接続のテストに成功しました」のメッセージが表示される場合は、信頼関係接続が確立されたことを意味します。
以前に認証されたユーザは、ユーザ名とパスワードを入力せずにサービスにアクセスできます。 - ［保存］をクリックします。
ホストへのバージョンの更新の適用
新しいバージョンにホストを更新するには、次のタスクを実行します。
ホストにバージョンの更新を適用する方法は2つあります。
注：リポジトリの場所を変更した場合は、「RSAおよびOS更新での外部リポジトリの設定」の説明を参照してください。
［ホスト］ビューから更新を適用する（Webアクセス）
タスク1：ローカル リポジトリにデータを取り込むか、外部リポジトリを設定する
NW Serverをセットアップする際に、ローカル リポジトリまたは外部のリポジトリを選択します。［ホスト］ビューでは、選択したリポジトリからバージョン更新を取得します。
ローカル リポジトリを選択した場合、セットアップは必要ありませんが、最新バージョンの更新が取り込まれるようにする必要があります。バージョン更新を取り込む手順については、「ローカル リポジトリに取り込む」を参照してください。
注：外部リポジトリを選択した場合は、セットアップする必要があります。外部リポジトリをセットアップする手順については、「RSAおよびOS更新での外部リポジトリの設定」参照してください。
タスク2：［ホスト］ビューからそれぞれのホストに更新を適用する
［ホスト］ビューには、ローカル更新リポジトリにある使用可能なソフトウェアの更新バージョンが表示されます。［ホスト］ビューから必要な更新を選択して適用します。
注意： NW Serverが11.1に更新された後に、NW Server以外のサーバを11.0.0.xパッチに更新しようとすると、NW Server以外のサーバのホスト更新が失敗した状態になります。詳細については、「ホストGS：バージョンのインストールと更新のトラブルシューティング」の「Update for <host>」、「Error preparing host <hostname> to be updated to version 11.0.0.x. check the logs」を参照してください。
この手順では、ホストをNetWitness Suiteの新しいバージョンに更新する方法について説明します。
注： このトピックでは、例としてNetWitness Suite 11.0.x.xから11.1.0.0を使用します。
- NetWitness Suiteにログインします。
- ［管理］＞［ホスト］に移動します。
- （オプション）最新の更新をチェックします。
- 1つまたは複数のホストを選択します。
最初にNW Serverを最新バージョンに更新する必要があります。その他のホストは任意の順序で更新できますが、「RSA NetWitness Suiteホストおよびサービス スタート ガイド」の「混在モードでの実行」のガイドラインに従うことを推奨します。
選択したホスト用のバージョン更新がローカル更新リポジトリにある場合は、［ステータス］列に［更新あり］が表示されます。 - ［更新のバージョン］列から適用するバージョンを選択します。
次の手順に従ってください。- 複数のホストを同じバージョンに更新する場合は、NW Serverホストを更新した後、対象ホストの左のチェックボックスを選択します。現在サポートされている更新バージョンのみが表示されます。
- 各更新の主な機能と更新に関する情報を示すダイアログを表示したい場合は、更新バージョン番号の右側にある情報アイコン（
）をクリックします。次に、このダイアログの例を示します。
- 目的のバージョンが見つからない場合は、［更新］＞［更新の確認］を選択し、リポジトリ内の使用可能な更新をチェックします。更新が利用可能な場合、「新しい更新が利用可能です」というメッセージが表示され、［ステータス］列が自動的に更新されて、［更新あり］が表示されます。デフォルトでは、選択したホストでサポートされている更新のみが表示されます。
- ツールバーの［更新］＞［ホストの更新］をクリックします。
選択した更新に関する情報を示すダイアログが表示されます。［更新を開始］をクリックします。
［ステータス］列には、次のような更新の各段階の状況が表示されます。- ステージ1：更新パッケージのダウンロード - 選択したホスト上のサービスに適用されるリポジトリ アーティファクトをNW Serverにダウンロードします。
- ステージ2：更新パッケージの構成 - 更新ファイルを正しい形式に構成します。
- ステージ3：更新中 - ホストを新しいバージョンに更新しています。
- 「更新が進行中です」が表示されたら、ブラウザをリフレッシュします。
これにより、［NetWitnessログイン］スクリーンが表示される場合があります。このスクリーンが表示されたら、ログインして［ホスト］ビューに戻ります。
ホストの更新が完了すると、NetWitness Suiteがホストの再起動を求めるメッセージを表示します。 - ツールバーの［ホストの再起動］をクリックします。
NetWitness Suiteは、ホストがオンラインに戻るまで、［ステータス］に［再起動中］と表示します。ホストがオンラインに戻ると、［ステータス］には［最新］と表示されます。ホストがオンラインに戻らない場合は、カスタマー サポートにお問い合わせください。
注：DISA STIGが有効化されている場合には、コア サービスが起動するまでに5～10分程度かかります。この遅延は新しい証明書を生成するために生じます。
コマンド ラインから更新を適用する（Webアクセスなし）
RSA NetWitness Suite導入環境ではWebアクセスが不可能な場合は、次の手順に従ってバージョン更新を適用します。
注：次の手順では、コード文字列の例として、11.1.0.0バージョン更新を使用しています。
- 目的のバージョンの.zip更新パッケージ（たとえば、netwitness-11.1.0.0.zip）をRSA Linkからローカル ディレクトリにダウンロードします。
- SSHでNW Serverホストに接続します。
- 目的のバージョン用にtmp/upgrade/<version>ステージング ディレクトリを作成します（たとえば、tmp/upgrade/11.1.0.0）。
mkdir –p /tmp/upgrade/11.1.0.0 - 作成したステージング ディレクトリ（たとえば、tmp/upgrade/11.1.0.0）にパッケージを解凍します。
cd /tmp/upgrade/11.1.0.0
unzip /tmp/upgrade/11.1.0.0/netwitness-11.1.0.0.zip - NW Server上の更新を初期化します。
upgrade-cli-client --init --version 11.1.0.0 --stage-dir /tmp/upgrade/ - NW Serverに更新を適用します。
upgrade-cli-client --upgrade --host-addr <NW Server IP> --version 11.1.0.0 - NetWitness Suiteにログインし、［ホスト］ビューでNW Serverのホストを再起動します。
- NW Server以外の各ホストに更新を適用します。
upgrade-cli-client --upgrade --host-addr <non-NW Server IP address> --version 11.1.0.0
更新は、ポーリングが完了した時点で完了します。 - NetWitness Suiteにログインし、［ホスト］ビューでホストを再起動します。
次のコマンドを使用して、ホストに適用されたバージョンを確認できます。
upgrade-cli-client --list
ローカル更新リポジトリに更新を取り込む
NetWitness Suiteは、バージョンの更新をLive更新リポジトリからローカル更新リポジトリに送信します。Live更新リポジトリへのアクセスには、［管理］＞［システム］＞［Live］で構成したLiveアカウントの認証情報を使用する必要があります。さらに、最新の更新を毎日ローカル リポジトリを取り込むために、［管理］＞［システム］＞［更新］のAutomatically download information about new updates every dayチェックボックスをオンにする必要があります。
次の図は、Webアクセスが可能なNetWitness Suite導入環境で、バージョンの更新を取得する方法を示しています。
注：Live更新リポジトリに最初に接続する場合、CentOS 7のシステム パッケージとRSA製品パッケージすべてにアクセスすることになります。この同期では、2.5GBを超えるデータがダウンロードされるため、同期に要する時間は、使用するNW Serverのインターネット接続環境やRSA Live更新リポジトリのトラフィックによって異なります。Live更新リポジトリの使用は必須ではありません。また、「外部リポジトリの設定」の説明に従って、外部リポジトリを使用することもできます。
Live更新リポジトリに接続するには、［管理］＞［システム］ビューに移動し、オプション パネルで［Liveサービス］を選択して、認証情報が構成されていることを確認します（［接続］ボタンは緑色）。緑色でない場合は、［サインイン］をクリックして、接続します。
注：Live更新リポジトリへの接続にプロキシを使用する必要がある場合、プロキシ ホスト、プロキシ ユーザ名、プロキシ パスワードを構成できます。「NetWitness Suite 11.1 システム構成ガイド」の「NetWitness Suiteのプロキシの構成」を参照してください。NetWitness Suite 11.xのすべてのドキュメントの一覧を確認するには、NetWitness Logs & Packets 11.xの「マスター目次」に移動します。
Webアクセスが不可能なNetWitness Suite導入環境の場合は、「コマンド ラインから更新を適用する」を参照してください。
次の図は、WebアクセスがないNetWitness Suite導入環境で、バージョンの更新を取得する方法を示しています。
RSAおよびOS更新での外部リポジトリの設定
注：次の手順では、コード文字列の例として、11.1.0.0バージョン更新を使用しています。
外部リポジトリ（Repo）を設定するには、次の手順を実行します。
注：1.) この処理手順を完了するには、ホストに解凍ユーティリティがインストールされている必要があります。2.) 次の手順を実行する前に、Webサーバの作成方法を理解する必要があります。
- （オプション）外部リポジトリがあり、それを上書きする場合に、この手順を実行します。
- ケース1：外部リポジトリからホストをブートストラップし、Admin Server上のローカル リポジトリを使用してアップグレードしたい場合。
- /etc/netwitness/platform/repobaseファイルを作成します。
vi /etc/platform/netwitness/repobase - repobaseファイルを編集して、ファイル内の情報が次のURLだけになるようにします。
https://nw-node-zero/nwrpmrepo - upgrade-cli-client ツールを使用してアップグレードを実行するための手順を完了します。
手順を参照してください。
- /etc/netwitness/platform/repobaseファイルを作成します。
- ケース2：Admin Server（NW Serverホスト）のローカル リポジトリからホストをブートストラップし、外部リポジトリを使用してアップグレードしたい場合。
- /etc/netwitness/platform/repobaseファイルを作成します。
vi /etc/platform/netwitness/repobase - repobaseファイルを編集して、ファイル内の情報が次のURLだけになるようにします。
https://<webserver-ip>/<alias-for-repo> - upgrade-cli-clientツールを使用してアップグレードを実行するための手順を完了します。
手順は、「コマンド ラインから更新を適用する」のトピックにあります。
- /etc/netwitness/platform/repobaseファイルを作成します。
- ケース1：外部リポジトリからホストをブートストラップし、Admin Server上のローカル リポジトリを使用してアップグレードしたい場合。
- 外部リポジトリを設定します。
- Webサーバ ホストにログインします
- NWリポジトリ（netwitness-11.1.0.0.zip）をホストするディレクトリを作成します（例：Webサーバのweb-root の下のziprepo）。たとえば、/var/netwitnessがweb-root場合、次のコマンドを実行します。
mkdir -p /var/netwitness/<your-zip-file-repo> - 11.1.0.0 ディレクトリを/var/netwitness/<your-zip-file-repo>の下に作成します。
mkdir -p /var/netwitness/<your-zip-file-repo>/11.1.0.0 - OSおよびRSAディレクトリを/var/netwitness/<your-zip-file-repo>/11.1.0.0の下に作成します。
mkdir -p /var/netwitness/<your-zip-file-repo>/11.1.0.0/OS
mkdir -p /var/netwitness/<your-zip-file-repo>/11.1.0.0/RSA - netwitness-11.1.0.0.zipファイルを/var/netwitness/<your-zip-file-repo>/11.1.0.0ディレクトリに解凍します。
unzip netwitness-11.1.0.0.zip -d /var/netwitness/<your-zip-file-repo>/11.1.0.0
netwitness-11.1.0.0.zipを解凍すると、2つのzipファイル（OS-11.1.0.0.zipおよびRSA-11.1.0.0.zip）とその他のファイルがいくつか現れます。 - 以下のように解凍します。
- OS-11.1.0.0.zipを /var/netwitness/<your-zip-file-repo>/11.1.0.0/OSディレクトリに解凍します。
unzip /var/netwitness/<your-zip-file-repo>/11.1.0.0/OS-11.1.0.0.zip -d /var/netwitness/<your-zip-file-repo>/11.1.0.0/OS
次の例は、ファイル解凍後のオペレーティング システム（OS）ファイルの構造を示しています。
- RSA-11.1.0.0.zipを/var/netwitness/<your-zip-file-repo>/11.1.0.0/RSAディレクトリに解凍します。
unzip /var/netwitness/<your-zip-file-repo>/11.1.0.0/RSA-11.1.0.0.zip -d /var/netwitness/<your-zip-file-repo>/11.1.0.0/RSA
次の例は、ファイル解凍後のRSAバージョン更新ファイルの構造を示しています。
Repoの外部urlはhttp://<web server IP address>/<your-zip-file-repo>です。
- OS-11.1.0.0.zipを /var/netwitness/<your-zip-file-repo>/11.1.0.0/OSディレクトリに解凍します。
- （オプション：Azureの場合）：Azureの更新の場合は、次の手順を実行します。
- mkdir -p /var/netwitness/<your-zip-file-repo>/11.1.0.0/OS/other
- unzip nw-azure-11.1-extras.zip -d /var/netwitness/<your-zip-file-repo>/11.1.0.0/OS/other
- cd /var/netwitness/<your-zip-file-repo>/11.1.0.0/OS
- createrepo .
- NW 11.1.0.0セットアップ プログラム（nwsetup-tui）が［Enter the base URL of the external update repositories］プロンプトを表示したら、 http://<web server IP address>/<your-zip-file-repo>と入力します。
ホスト グループの作成と管理
［ホスト］ビューでは、ホストのグループを作成および管理するためのオプションが提供されます。［グループ］パネル ツールバーには、ホスト グループの作成、編集、削除のオプションがあります。グループの作成後、［ホスト］パネルからグループに各ホストをドラッグできます。
グループは、機能別、地域別、あるいはプロジェクト別など、組織における運用管理方式に従って構成できます。1つのホストが複数のグループに属することができます。ここでは、考えられる分類の例をいくつか示します。
- すべてのBroker、Decoder、Concentratorの構成と監視を容易にするために、さまざまなホスト タイプをグループ化。
- 同じデータ フローを構成しているホスト（たとえば、Brokerとそれに関連するすべてのConcentratorとDecoder）をグループ化。
- ホストが配置されている地域や場所に従ってグループ化。こうすることで、ある地域で大規模な停電が発生した場合に、影響を受ける可能性があるホストを容易に識別可能です。
グループの作成
- ［管理］＞［ホスト］を選択します。
［ホスト］ビューが表示されます。 - ［グループ］パネルのツールバーで、
をクリックします。
新しいグループのフィールドが表示され、カーソルが点滅します。
- このフィールドに新しいグループの名前（「新規グループ」など）を入力し、Enterキーを押します。
グループはツリー内にフォルダとして作成されます。グループの横にある数値は、そのグループ内のホストの数を示します。
グループ名の変更
- ［ホスト］ビューの［グループ］パネルで、グループ名をダブル クリックするか、グループを選択し、
をクリックします。
名前のフィールドが表示され、カーソルが点滅します。 - グループの新しい名前を入力し、Enterキーを押します。
［名前］フィールドが閉じ、新しいグループ名がツリーに表示されます。
グループへのホストの追加
［ホスト］ビューの［ホスト］パネルで、ホストを選択して、ホストを［グループ］パネルのグループ フォルダにドラッグします。
グループにホストが追加されます。
グループ内のホストの表示
グループ内のホストを表示するには、［グループ］パネルのグループをクリックします。
［ホスト］パネルには、そのグループ内のホストが一覧表示されます。
グループからのホストの削除
- ［ホスト］ビューの［グループ］パネルで、削除するホストが含まれているグループを選択します。そのグループ内のホストが［ホスト］パネルに表示されます。
- ［ホスト］パネルで、グループから削除するホストを1つ以上選択し、ツールバーで
＞［グループから削除］を選択します。
選択したホストはグループから削除されますが、NetWitness Suiteユーザ インタフェースからは削除されません。表示されているホスト数は、グループから削除されたホストの数だけ減ります。［すべて］グループには、グループから削除されたホストが含まれます。
次の例では、［新しいグループ］という名前のホスト グループにはホストが含まれていません。グループ内のホストが削除されたためです。
グループの削除
- ［ホスト］ビューの［グループ］パネルで、削除するグループを選択します。
-
をクリックします。
選択したグループが［グループ］パネルから削除されます。グループに含まれていたホストはNetWitness Suiteユーザ インタフェースからは削除されません。［すべて］グループには、削除されたグループのホストが含まれています。
ホストの検索
［ホスト］ビューに表示されるホストの一覧からホストを検索できます。［ホスト］ビューでは、名前やホスト名でホストの一覧をすばやくフィルタ表示できます。多数のNetWitness Suiteホストを管理する場合に便利です。ホスト リストをスクロールするのではなく、ホストのリストをフィルタ表示することによって、管理するホストに迅速にアクセスすることができます。
［サービス］ビューでは、サービスを検索して、そのサービスを実行するホストを迅速に見つけることができます。
ホストの検索
- ［管理］＞［ホスト］を選択します。
- ［ホスト］パネル ツールバーの［フィルタ］フィールドに、ホストの名前またはホスト名を入力します。
［フィルタ］フィールドに入力した名前に一致するホストが、［ホスト］パネルに表示されます。
サービスを実行するホストの検索
- ［管理］＞［サービス］を選択します。
- ［サービス］ビューで、サービスを選択します。関連づけられたホストが、そのサービスの［ホスト］列に表示されます。
- ［ホスト］ビューでホストを管理するには、そのサービスの［ホスト］列のリンクをクリックします。選択したサービスに関連づけられたホストが［ホスト］ビューに表示されます。
ホストのタスク リストからのタスクの実行
- ［管理］＞［サービス］を選択します。
- ［サービス］グリッドで、サービスを選択し、
＞［表示］＞［システム］をクリックします。注：Admin、Config、Orchestration、Security、Investigate、Respondの各サービスには［システム］ビューはありません。これらのサービスには［エクスプローラ］ビューしかありません。
サービスの［システム］ビューが表示されます。
- サービスの［システム］ビューのツールバーで、
をクリックします。
- ［ホスト タスク リスト］で、［タスク］フィールドをクリックし、ホストで実行するタスクのドロップダウン リストを表示します。
- タスクを選択します。たとえば、［サービスの停止］をクリックします。
タスクが［タスク］フィールドに表示され、タスクの説明、引数の例、セキュリティ ロール、パラメータが［情報］セクションに表示されます。
- 必要に応じて引数を入力し、［実行］をクリックします。
コマンドが実行され、結果が［出力］セクションに表示されます。
ファイル システム監視の追加と削除
サービスで個別のファイル システム上のトラフィックを監視する必要がある場合、サービスを選択してパスを指定し、監視を設定できます。Security Analyticsがファイル システム監視を追加します。ファイル システム監視をサービスに追加すると、ファイル システム監視が削除されるまで、そのサービスで該当パス上のトラフィックの監視が継続されます。
ファイル システム監視の構成
- ［管理］＞［サービス］を選択します。
- ［サービス］グリッドで、サービスを選択し、＞［表示］＞［システム］をクリックします。
サービスの［システム］ビューが表示されます。 - サービスの［システム］ビューのツールバーで、［ホスト タスク］をクリックします。
- ［ホスト タスク リスト］で、［ファイル システム監視の追加］を選択します。
［情報］セクションに、タスクの概要とタスクの引数が表示されます。 - ［引数］フィールドに、監視するファイル システムのパスを入力します。例：
path=/var/netwitness/decoder/packetdb
- ［実行］をクリックします。
結果が［出力］領域に表示されます。サービスによってファイル システムの監視が開始され、ファイル システム監視を削除するまで監視が継続されます。
ファイル システム監視の削除
- ［ホスト タスク リスト］ダイアログに移動します。
- ［ホスト タスク リスト］で、［ファイル システム監視の削除］を選択します。
［情報］セクションに、タスクの概要とタスクの引数が表示されます。 - ［引数］フィールドに、監視を停止するファイル システムのパスを入力します。例：
path=/var/netwitness/decoder/packetdb
- ［実行］をクリックします。
結果が［出力］領域に表示されます。サービスによってファイル システムの監視が停止されます。
ホストの再起動
特定の状況（たとえば、ソフトウェア アップグレードをインストールした後など）で、ホストの再起動が必要な場合があります。この手順では、ホスト タスク リスト メッセージを使用してホストのシャットダウンと再起動を行います。
また、Security Analyticsでは、他の方法を使用してホストをシャットダウンすることもできます。
- 接続されているサービスを通じてホストをシャットダウンし、再起動するには、［サービス］ビューのサービスから［ホスト］ビューに移動し（「ホストの検索」を参照）、以下の「［ホスト］ビューからのホストのシャットダウンおよび再起動」の手順に従ってください。
- 再起動ではなく、物理ホストをシャットダウンする手順については、「ホストのシャットダウン」を参照してください。
［ホスト］ビューからのホストのシャットダウンおよび再起動
- ［管理］＞［ホスト］を選択します。
- ［ホスト］パネルでホストを選択します。
- ツールバーから
を選択します。
ホスト タスク リストからのホストのシャットダウンおよび再起動
- ［管理］＞［サービス］を選択します。
- ［サービス］パネルで、サービスを選択し、＞［表示］＞［システム］をクリックします。
サービスの［システム］ビューが表示されます。 - サービスの［システム］ビューのツールバーで、［ホスト タスク］をクリックします。
- ［ホスト タスク リスト］で、［タスク］フィールドの［ホストの再起動］を選択します。
引数は必要ありません。
- ［実行］をクリックします。
ホストが再起動され、結果が［出力］領域に表示されます。
ホスト内蔵クロックの設定
シャットダウンまたはバッテリ故障の後に、ホスト上でローカル クロックの設定が必要な場合があります。ホスト内蔵クロックの設定タスクにより、クロックの時刻がリセットされます。
ローカル クロックでの時刻の設定
- ［管理］＞［サービス］を選択します。
- ［サービス］グリッドで、サービスを選択し、＞［表示］＞［システム］を選択します。
サービスの［システム］ビューが表示されます。 - サービスの［システム］ビューのツールバーで、［ホスト タスク］をクリックします。
- ホスト タスク リストで、［ホスト内蔵クロックの設定］を選択します。タスクのヘルプが［情報］領域に表示されます。
- ［引数］フィールドに日付と時刻の引数を入力します。たとえば、2017年10月31日11:59:59 PMを指定するには、次のように入力します。
set=20171031T235959
- ［実行］をクリックします。
クロックが指定した時間に設定され、メッセージが［出力］領域に表示されます。
ネットワーク構成の設定
構成済みのコア ホストでアドレスを変更する必要がある場合、ホスト タスク リストで、［ネットワーク構成の設定］メッセージを使用して、ホスト用に新しいネットワーク アドレス、サブネット マスク、ゲートウェイを設定できます。
注意：変更がただちに有効になり、ホストがSecurity Analyticsから切断されます。切断されたホストは、新しいネットワーク アドレスを使用してSecurity Analyticsに再度追加する必要があります。
ホストのネットワーク アドレスの指定
- ［管理］＞［サービス］を選択します。
- ［サービス］グリッドで、サービスを選択し、＞［表示］＞［システム］をクリックします。
サービスの［システム］ビューが表示されます。 - サービスの［システム］ビューのツールバーで、［ホスト タスク］をクリックします。
- ［ホスト タスク リスト］で、［ネットワーク構成の設定］をクリックします。
タスクが［タスク］フィールドに表示され、ヘルプが［情報］セクションに表示されます。 - ［引数］フィールドに引数を入力します。例：
mode=static address=192.168.0.20 netmask=255.255.255.0 gateway=192.168.0.1
- ［実行］をクリックします。
タスクが実行され、結果が［出力］領域に表示されます。ホストがSecurity Analyticsから切断されています。新しいアドレスでホストを再度追加する必要があります。
注：ネットワーク インタフェースのmodeがDHCPである場合、Security Analytics上で新しいアドレスを確認できません。新しいアドレスを確認するには、ホストに直接接続する必要があります。
ネットワーク タイム ソースの設定
ホストでネットワーク クロック ソースを使用する場合には、ホストのネットワーク クロック ソースとなるNTPサーバのホスト名またはアドレスを設定します。ホストでローカル クロック ソースを使用する場合には、ここにlocalを指定し、ローカル クロック ソースの設定を有効にする必要があります。
ネットワーク クロック ソースの指定
- ［管理］＞［サービス］を選択します。
- ［サービス］グリッドで、サービスを選択し、＞［表示］＞［システム］をクリックします。
サービスの［システム］ビューが表示されます。 - サービスの［システム］ビューのツールバーで、［ホスト タスク］をクリックします。
- ［ホスト タスク リスト］で、［ネットワーク タイム ソースの設定］を選択します。
- 次のいずれかを実行します。
- このホストのクロック ソースとして使用するNTPサーバのホスト名またはアドレスを入力します。たとえば、次のように入力します。source=tictoc.localdomain
- クロック ソースとしてホスト クロックを使用する場合は、次のように入力します。
source=local
- ［実行］をクリックします。
クロック ソースが設定され、メッセージが［出力］領域に表示されます。
注：NTPクロック ソースとしてlocalを指定した場合、ホスト クロックがクロック ソースとして使用され、時刻は「ホスト内蔵クロックの設定」を使用して構成されます。
SNMPの設定
ホスト タスク リストの［SNMPの設定］により、ホスト上のSNMPサービスを有効化または無効化します。ホストがSNMP通知を受信するには、SNMPサービスを有効化する必要があります。NetWitness Suite通知でSNMPを使用しない場合、このサービスを有効化する必要はありません。
ホスト上のSNMPサービスのオン/オフ
- ［管理］＞［サービス］を選択します。
- ［サービス］グリッドで、サービスを選択し、＞［表示］＞［システム］をクリックします。
サービスの［システム］ビューが表示されます。 - サービスの［システム］ビューのツールバーで、［ホスト タスク］をクリックします。
- ［ホスト タスク リスト］で、［SNMPの設定］を選択します。
［情報］セクションに、タスクの概要とタスクの引数が表示されます。 - 次のいずれかを実行します。
- サービスを無効化する場合は、［引数］フィールドに「enable=0」と入力します。
- サービスを有効化する場合は、［引数］フィールドに「enable=1」と入力します。
- ［実行］をクリックします。
結果が［出力］領域に表示されます。
Syslog転送の設定
Syslogの転送を、NetWitness Suiteホストのオペレーティング システム ログをリモートSyslogサーバに転送するように構成できます。Syslog転送を有効化または無効化するには、ホスト タスク リストで［Syslog転送の設定］タスクを使用します。
Syslog転送の設定と開始
- ［管理］＞［サービス］を選択します。
- ［サービス］グリッドで、サービスを選択し、＞［表示］＞［システム］をクリックします。
サービスの［システム］ビューが表示されます。 - サービスの［システム］ビューのツールバーで、［ホスト タスク］をクリックします。
- ［ホスト タスク リスト］で、［Syslog転送の設定］を選択します。
［情報］セクションに、タスクの概要とタスクの引数が表示されます。
- ［引数］フィールドで、次のいずれかを実行します。
- Syslog転送を有効化するには、次のいずれかの形式を指定します。
- host=<loghost>.<localdomain>（例：host=syslogserver.local）。
- host=<loghost>.<localdomain>:<port>（例：host=syslogserver.local:514）。
- host=<IP>（例：host=10.31.244.244）。
- host=<IP>:<port>（例：host=10.31.244.244:514）。
次の表に、Syslog転送を有効化するために使用されるパラメータとその説明を示します。
- Syslog転送を無効化するには、host=disableと入力します。
- Syslog転送を有効化するには、次のいずれかの形式を指定します。
- ［実行］をクリックします。
結果が［出力］領域に表示されます。
Syslog転送が有効化または無効化されると、/etc/rsyslog.confファイルが自動的に更新されて、リモートのSyslog転送先へのSyslog転送が有効化または無効化され、Syslogサービスが再起動されます。
Syslog転送を有効化した場合、構成されたサービスからのログは定義済みSyslogサーバに転送され、無効化されるまで転送し続けられます。
注：リモートSyslogサーバにログインし、Syslog転送を構成したNetWitness Suiteサービスからのメッセージが受信されているかどうかを確認できます。
ネットワーク ポート ステータスの表示
ホスト タスク リストの［ネットワーク ポート ステータスの表示］タスクは、ホスト上のすべての構成済みポートのステータスを表示します。
ネットワーク ポート ステータスの表示
- ［管理］＞［サービス］を選択します。
- ［サービス］グリッドで、サービスを選択し、＞［表示］＞［システム］を選択します。
選択したサービスの［システム］ビューが表示されます。 - サービスの［システム］ビューのツールバーで、［ホスト タスク］をクリックします。
- ホスト タスク リストで、［ネットワーク ポート ステータスの表示
］をクリックします。タスクが［タスク］フィールドに表示され、タスクに関する情報が［情報］セクションに表示されます。 - タスクを実行するには、［実行］をクリックします。
ホスト上の各ポートのステータスが［出力］領域に表示されます。
シリアル番号の表示
ホスト タスク リストの［シリアル番号の表示］タスクでは、ホストのシリアル番号が表示されます。
シリアル番号の表示
- ［管理］＞［サービス］を選択します。
- ［サービス］グリッドで、サービスを選択し、＞［表示］＞［システム］をクリックします。
サービスの［システム］ビューが表示されます。 - サービスの［システム］ビューのツールバーで、［ホスト タスク］をクリックします。
- ホスト タスク リストで、［シリアル番号の表示
］を選択します。［情報］セクションに、タスクの概要とタスクの引数が表示されます。 - このタスクでは、引数は必要ありません。［実行］をクリックします。
選択したホストのシリアル番号が［出力］領域に表示されます。
ホストのシャットダウン
特定の状況（たとえばハードウェアのアップグレード、バックアップ電源容量を超過する長時間の停電など）で、物理ホストのシャットダウンが必要になることがあります。ホストをシャットダウンすると、ホストで実行されているすべてのサービスが停止し、物理ホストの電源がオフになります。
シャットダウンした物理ホストは自動的には再起動しません。ホストを起動するには電源スイッチを使用する必要があります。物理ホストが再起動すると、ホストとサービスは自動的に起動するように構成されています。
ホストをシャット ダウンせずに開始および停止するには、ホストを再起動します。
ホストのシャットダウン
- ［ホスト タスク リスト］ダイアログで、［タスク］フィールドの［ホストのシャットダウン］を選択します。
- タスクを実行するには、［実行］をクリックします。
ホストがシャットダウンし、ホストがオフになります。
ホストでのサービスの停止と開始
ホスト タスク リストには、ホスト上のサービスを停止および開始するためのオプションが2つあります。サービスの停止メッセージを使用してサービスを停止した場合、サービスのすべてのプロセスが停止し、サービスに接続していたユーザが切断されます。サービスに問題がない限り、自動的に再起動します。これは、サービスの［システム］ビューの［サービスのシャットダウン］オプションと同じです。
停止後にサービスが自動的に再起動しない場合、サービスの開始メッセージを使用して手動でサービスを再起動できます。
ホストでのサービスの停止
- ［管理］＞［サービス］を選択します。
- ［サービス］グリッドで、サービスを選択し、＞［表示］＞［システム］をクリックします。
サービスの［システム］ビューが表示されます。 - サービスの［システム］ビューのツールバーで、［ホスト タスク］をクリックします。
- ［ホスト タスク リスト］で、［サービスの停止］をクリックします。
タスクが［タスク］フィールドに表示され、タスクに関する情報が［情報］セクションに表示されます。 - ［引数］フィールドに停止するサービス（decoder、concentrator、broker、logdecoder、logcollector）を指定します。たとえば、次のように指定します。service=decoder
- タスクを実行するには、［実行］をクリックします。
サービスが停止し、ステータスが［出力］セクションに表示されます。サービスのすべてのプロセスが停止し、サービスに接続するユーザが切断されます。サービスに問題がない限り、自動的に再起動します。
ホストでのサービスの開始
- ［ホスト タスク リスト］で、［タスク］ドロップダウン リストから［サービスの開始］を選択します。
タスクが［タスク］フィールドに表示され、タスクに関する情報が［情報］セクションに表示されます。 - ［引数］フィールドで、開始するサービス（decoder、concentrator、broker、logdecoder、logcollector）を指定します。たとえば、次のように指定します。
service=decoder
- タスクを実行するには、［実行］をクリックします。
サービスが開始し、ステータスが［出力］セクションに表示されます。
サービス ユーザの追加、レプリケート、削除
次の場合にユーザをサービスに追加する必要があります。
- 集計の設定
- 下記のサービスへのアクセス設定：
- シック クライアント
- REST API
注：このトピックは、NetWitness Serverのユーザ インタフェースを通してサービスにアクセスするユーザには適用されません。それらのユーザは、サービスではなく、システムに追加する必要があります。詳細については、「システム セキュリティとユーザ管理」の「ユーザの設定」トピックを参照してください。
各サービス ユーザについて、次のタスクを実行できます。
- サービスのユーザ認証とクエリ処理プロパティを構成する
- ユーザをロールのメンバーにする。このロールにはユーザに付与される権限のセットが設定される
- 他のサービスにユーザ アカウントをレプリケートする
- 選択したサービス上のユーザ パスワードを変更する
「サービス ユーザ パスワードの変更」では、複数のサービスにわたってサービス ユーザ パスワードを変更する手順について説明します。
レプリケーションと移行の考慮事項
NetWitness Suite 10.5以降のサービスからNetWitness Suite 10.4サービスにユーザをレプリケートすると、クエリ タイムアウトは、最も近いレベルのクエリ レベルに移行されます。たとえば、ユーザのクエリ タイムアウトが15分である場合、ユーザはクエリ レベル3を取得します。ユーザのクエリ タイムアウトが35分である場合、ユーザはクエリ レベル2を取得します。ユーザのクエリ タイムアウトが45分である場合、ユーザはクエリ レベル2を取得します。
NetWitness Suite 10.4サービスからNetWitness Suite 10.5以降のサービスにユーザを移行またはレプリケートすると、クエリ レベルは、次の定義に基づいてクエリ タイムアウトに移行されます。
- クエリ レベル1 = 60分
- クエリ レベル2 = 40分
- クエリ レベル3 = 20分
手順
［セキュリティ］ビューへのアクセス
以下の各手順は、サービスの［セキュリティ］ビューから開始します。
サービスの［セキュリティ］ビューに移動するには、次の手順を実行します。
- NetWitness Suiteで、［管理］＞［サービス］に移動します。
- サービスを選択し、
＞［表示］＞［セキュリティ］をクリックします。
選択したサービスの［セキュリティ］ビューが表示され、［ユーザ］タブが開きます。
注：NetWitness Suite 10.4以前のサービス バージョンでは、［ユーザ設定］セクションに［コア クエリ タイムアウト］ではなく［クエリ レベル］フィールドが表示されます。
サービス ユーザの追加
- ［ユーザ］タブで、
をクリックします。 - サービスにアクセスするユーザ名を入力し、Enterキーを押します。
［ユーザ情報］セクションに［ユーザ名］が表示され、残りのフィールドが編集可能になります。 - ［パスワード］および［パスワードの確認］フィールドで、サービスにログオンするためのパスワードを入力します。
- （オプション）追加情報を提供します。
- NetWitness Suiteにログオンするための名前
- メール アドレス
- ユーザの説明
- ［ユーザ設定］セクションで、次の情報を選択します。
- 認証タイプ
- NetWitness Suiteがユーザを認証する場合は、［Netwitness］を選択します。
- Active DirectoryまたはPAMがユーザ認証のためにNetWitness Serverで構成されている場合は、［外部］を選択します。
注：10.4以降では、信頼関係接続が使用されるため、サービスで外部ユーザ アカウントを構成する必要はありません。NetWitness Serverではすべての外部認証構成が一元管理されます。
- ［コア クエリ タイムアウト］は、ユーザがサービスに対してクエリを実行できる最長時間（分単位）です。このフィールドはNetWitness Suite 10.5以降のサービス バージョンに適用され、10.4以前のバージョンでは表示されません。
- （オプション）追加のクエリ条件を指定します。
- ［クエリ プレフィックス］はクエリをフィルタリングします。プレフィックスを入力して、ユーザに表示される結果を制限します。
- ［セッション閾値］は、スキャンするセッションのカウント数を制御します。閾値を上回るセッション カウントを持つメタ値では、セッションのカウントが閾値に達すると停止されます。
- ［ロール メンバーシップ］セクションで、ユーザに割り当てる各ロールを選択します。ユーザがサービス上のロールのメンバーの場合、ユーザにはロールに割り当てられた権限が付与されます。
- 新しいサービス ユーザをアクティブ化するには、［適用］をクリックします。
ユーザはすぐにサービスに追加されます。
他のサービスへのユーザのレプリケート
- ［ユーザ］タブで、ユーザを選択して、＞［レプリケート］をクリックします。
［他のサービスへのユーザのレプリケート］ダイアログが表示されます。
- ユーザのパスワードを入力し、パスワードを確認します。
- ユーザのレプリケート先となる各サービスを選択します。
- ［レプリケート］をクリックします。
選択した各サービスにユーザ アカウントが追加されます。
サービス ユーザの削除
- ［ユーザ］タブで、ユーザ名を選択し、
をクリックします。
NetWitness Suiteによって、選択したユーザを削除するかどうかを確認するように求められます。 - ユーザを削除するには、［はい］をクリックします。
ユーザはすぐにサービスから削除されます。
サービス ユーザのロールの追加
NetWitness Suiteには、サーバおよび各サービスに事前定義されたロールがあります。カスタム ロールを追加することもできます。次の表に、事前構成されたシステム ロールとその権限を示します。
以下のユーザやロールが必要な場合、サービス ロールを追加する必要があります。
- 新しい権限のセットを必要とするサービス ユーザ。
- NetWitness Server上のカスタム ロール。信頼関係接続では、サーバと、カスタム ロールがアクセスする各サービスの両方に、同一のカスタム ロールが存在する必要があるためです。これらの名前は同一である必要があります。たとえば、サーバ上でJunior Analystsロールを追加する場合、そのロールがアクセスする各サービスにJunior Analystsロールを追加する必要があります。詳細については、「システム セキュリティとユーザ管理」の「ロールの追加と権限の割り当て」を参照してください。
事前構成されたAggregationサービス ロールもあります。詳細については、「Aggregationロール」と「サービスのユーザ ロールと権限」を参照してください。
手順
サービス ユーザ ロールを追加して権限を割り当てるには：
- NetWitness Suiteで、［管理］＞［サービス］に移動します。
- サービスを選択し、
＞［表示］＞［セキュリティ］を選択します。
選択したサービスの［セキュリティ］ビューが表示され、［ユーザ］タブが開きます。 - ［ロール］タブを選択し、
をクリックします。
［サービス］の［セキュリティ］ビューが表示され、5つの事前構成されたロールが一覧表示されます。
-
をクリックし、ロール名を入力して、Enterキーを押します。
ロール名は、ロールの権限セクションの上部に表示されます。 - サービス上でロールに付与する各権限を選択します。
- ［適用］をクリックします。
ロールは即座にサービスに追加されます。［ユーザ］タブで、サービス ユーザを追加できます。
サービス ユーザ パスワードの変更
この手順により、管理者がサービス ユーザのパスワードを変更し、新しいパスワードを、そのユーザ アカウントが定義されているすべてのコア サービスにレプリケートできます。選択されたコア サービスにレプリケートされるのは、ユーザ アカウント全体ではなく、パスワードの変更のみです。また、管理者は、Coreサービスで、adminアカウントのパスワードを変更することもできます。
注：［パスワードの変更］オプションは、外部ユーザには適用されません。
サービス ユーザのパスワードを変更するには：
- NetWitness Suiteで、［管理］＞［サービス］に移動します。
［管理］の［サービス］ビューが表示されます。 - サービスを選択し、
＞［表示］＞［セキュリティ］をクリックします。
選択したサービスの［セキュリティ］ビューが表示されます。 - ［ユーザ］タブで、ユーザを選択して、アクション アイコンから［パスワードの変更］を選択します。
［パスワードの変更］ダイアログが表示されます。
- ユーザの新しいパスワードを入力し、パスワードを確認します。
- ユーザのパスワードを変更するサービスを選択します。
- ［パスワードの変更］をクリックします。
選択したサービスのパスワード変更のステータスが表示されます。
サービス グループの作成と管理
［管理］の［サービス］ビューでは、サービスのグループを作成および管理するためのオプションが提供されます。［サービス］パネル ツールバーには、サービス グループの作成、編集、削除のオプションがあります。グループの作成後、［サービス］パネルからグループに各サービスをドラッグできます。
グループは、機能別、地域別、あるいはプロジェクト別など、組織における運用管理方式に従って構成できます。1つのサービスが複数のグループに属することができます。ここでは、考えられる分類の例をいくつか示します。
- すべてのBroker、Decoder、Concentratorの構成と監視を容易にするために、さまざまなサービス タイプをグループ化。
- 同じデータ フローを構成しているサービス（たとえば、Brokerとそれに関連するすべてのConcentratorとDecoder）をグループ化。
- サービスが配置されている地域や場所に従ってグループ化。こうすることで、ある地域で大規模な停電が発生した場合に、影響を受ける可能性があるサービスを容易に識別可能です。
グループの作成
- NetWitness Suiteで、［管理］＞［サービス］に移動します。
［管理］の［サービス］ビューが表示されます。 - ［グループ］パネルのツールバーで、
をクリックします。
新しいグループのフィールドが表示され、カーソルが点滅します。
- このフィールドに新しいグループの名前（「新規グループ」など）を入力し、Enterキーを押します。
グループはツリー内にフォルダとして作成されます。グループの横にある数値は、そのグループ内のサービスの数を示します。
グループ名の変更
- ［サービス］ビューの［グループ］パネルで、グループ名をダブル クリックするか、グループを選択し、
をクリックします。 ［名前］フィールドが表示され、カーソルが点滅します。 - グループの新しい名前を入力し、Enterキーを押します。
［名前］フィールドが閉じ、新しいグループ名がツリーに表示されます。
グループへのサービスの追加
［サービス］ビューの［サービス］パネルで、サービスを選択し、［グループ］パネル内のグループ フォルダ（たとえば、［Log Collector］）にサービスをドラッグします。
グループにサービスが追加されます。
グループ内のサービスの表示
グループ内のサービスを表示するには、［グループ］パネルでグループをクリックします。
［サービス］パネルに、そのグループ内のサービスが表示されます。
グループからのサービスの削除
- ［サービス］ビューの［グループ］パネルで、削除するサービスが含まれているグループを選択します。そのグループ内のサービスが［サービス］パネルに表示されます。
- ［サービス］パネルで、グループから削除するサービスを1つ以上選択し、ツールバーで
＞［グループから削除］を選択します。
選択したサービスはグループから削除されますが、NetWitness Suiteユーザ インタフェースからは削除されません。表示されているサービス数は、グループから削除されたサービスの数だけ減ります。［すべて］グループには、グループから削除されたサービスが含まれます。
次の例では、［新しいグループ］という名前のサービス グループにはサービスが含まれていません。グループ内のサービスが削除されたためです。
グループの削除
- ［サービス］ビューの［グループ］パネルで、削除するグループを選択します。
-
をクリックします。
選択したグループが［グループ］パネルから削除されます。グループに含まれていたサービスはNetWitness Suiteユーザ インタフェースからは削除されません。［すべて］グループには、削除されたグループのサービスが含まれています。
サービス ロールの複製またはレプリケート
新しいサービス ロールを追加するための効率的な方法として、同じロールを複製して新しい名前で保存し、すでに割り当てられている権限を変更することができます。たとえば、Analystsロールを複製できます。複製したら、JuniorAnalystsとして保存し、権限を変更します。
既存のロールを別のサービスにすばやく追加する方法として、ロールをレプリケートすることができます。たとえば、BrokerにあるJuniorAnalystsロールをConcentratorおよびLog Decoderにレプリケートできます。
以下の各手順は、サービスの［セキュリティ］ビューから開始します。
サービスの［セキュリティ］ビューに移動するには、次の手順を実行します。
- NetWitness Suiteで、［管理］＞［サービス］に移動します。
- サービスを選択し、
＞［表示］＞［セキュリティ］をクリックします。
選択したサービスの［セキュリティ］ビューが表示され、［ユーザ］タブが開きます。 - ［ロール］タブを選択します。
サービス ロールの複製
- ［ロール］タブで、複製するロールを選択します。
-
（ロールの複製）をクリックします。 - 新しい名前を入力し、［適用］をクリックします。
- 新しいロールを選択します。
- ［ロールの権限］セクションで、権限を選択または選択解除し、新しいロールで実行できる内容を変更します。
複製されたロールは、サービスに即座に追加されます。
ロールのレプリケート
- ［ロール］タブで、レプリケートするロールを選択し、［レプリケート］をクリックします。
- ［他のサービスへのロールのレプリケート］ダイアログで、ロールの追加先の各サービスを選択します。
- ［レプリケート］をクリックします。
レプリケートされたロールは、選択した各サービスに即座に追加されます。
コア サービス設定ファイルの編集
Decoder、Log Decoder、Broker、Concentrator、Archiver、Workbenchサービスのサービス設定ファイルは、テキスト ファイルとして編集できます。［サービス］の［構成］ビュー＞［ファイル］タブでは、次のタスクを実行できます。
- NetWitness Suiteシステムが現在使用しているサービス構成ファイルを表示および編集する。
- ファイルの最新のバックアップを取得したり、バックアップからリストアしたりする。
- ファイルを他のサービスにプッシュする。
- ファイルの変更を保存する。
編集可能なファイルは、構成するサービスのタイプによって異なります。すべてのコア サービスに共通のファイルは次のとおりです。
- サービス インデックス ファイル。
- netwitnessファイル。
- crash reporterファイル。
- schedulerファイル。
さらに、Decoderには、ParserやFeedの定義、Wireless LANアダプタを構成するためのファイルがあります。
注：これらの構成ファイルのデフォルト値は通常、変更する必要はありませんが、crash reporterやschedulerなどのオプション サービスでは編集が必要です。これらの設定を変更する場合には、ネットワーク環境やデータ収集および解析への影響について十分に理解している管理者のみが実施するようにしてください。
サービス構成パラメータの詳細については、「サービス構成設定」を参照してください。
サービス構成ファイルの編集
ファイルを編集するには、次の手順を実行します。
- NetWitness Suiteで、［管理］＞［サービス］に移動します。
- ［サービス］グリッドでサービスを選択します。
-
＞［表示］＞［構成］を選択します。
［サービス］の［構成］ビューが表示され、［全般］タブが開きます。 - ［ファイル］タブをクリックします。
Concentratorなどの選択したサービスが右のドロップダウン リストに表示されます。 - （オプション）サービスではなくホストのファイルを編集するには、ドロップダウン リストで［ホスト］を選択します。
- ［編集するファイルを選択してください］ドロップダウン リストからファイルを選択します。
ファイルの内容が編集モードで表示されます。
- ファイルを編集して、［適用］をクリックします。
現在のファイルは上書きされ、バックアップ ファイルが作成されます。変更はサービスの再起動後に有効になります。
サービス構成ファイルのバックアップ バージョンへのロール バック
構成ファイルに変更を加えて保存し、サービスを再起動すると、バックアップ ファイルが使用可能になります。構成ファイルをロール バックしてバックアップしたバージョンに戻す方法
- このトピックの最初にある「サービス設定ファイルの編集」処理手順のステップ1～6を実行して、設定ファイルを選択します。
-
をクリックします。
バックアップ ファイルがテキスト エディタで開きます。 - 構成ファイルをバックアップ バージョンに戻すには、［保存］をクリックします。
変更はサービスの再起動後に有効になります。
他のサービスへの構成ファイルのプッシュ
サービス構成ファイルを編集した後、同じタイプの他のサービスに同じ構成をプッシュできます。
- このトピックの最初にある「サービス設定ファイルの編集」処理手順のステップ1～6を実行して、設定ファイルを選択します。
-
をクリックします。［サービスの選択］ダイアログが表示されます。 - 設定ファイルをプッシュする各サービスを選択します。
各サービスは、［サービス］ビューで選択したサービスと同じタイプでなければなりません。注意：構成ファイルをプッシュしない場合は、［キャンセル］をクリックします。
- 選択したすべてのサービスに構成ファイルをプッシュする場合は、［OK］をクリックします。
構成ファイルは、選択したすべてのサービスにプッシュされます。
タスク スケジューラの構成
Schedulerファイル
schedulerファイルは、［サービス］の［構成］ビュー＞［ファイル］タブで編集できます。このファイルでは、サービスのビルトイン タスク スケジューラを構成します。タスク スケジューラでは、指定された間隔で自動的にタスク メッセージを送信してタスクを実行できます。
タスク スケジューラの構文
schedulerファイルのタスク行は、次の構文から構成されます。<Value>にはスペースは含まれません。
<ParamName>=<Value><Value>にスペースが含まれる場合の構文は次のとおりです。
<ParamName>="<Value>"各タスク行では、次のガイドラインが適用されます。
- timeパラメータ、またはインターバル パラメータ（seconds、minutes、hours）のいずれかが必要です。
- 特殊文字は\（バックスラッシュ）によってエスケープします。
タスク行パラメータ
スケジューラでは、次のタスク行パラメータを使用できます。
メッセージ
次に、タスク スケジューラのmsgパラメータで使用するメッセージ文字列を示します。
サンプル タスク行
schedulerファイルにおける次のタスク行の例では、Feedのホスト サーバから120分ごとにDecoderにFeedパッケージ ファイル（feeds.zip）をダウンロードします。
minutes=120 pathname=/parsers msg=feed params="type\=wget file\=http://feedshost/nwlive/feeds.zip"
サービス インデックス ファイルの編集
このトピックでは、［サービス］の［構成］ビュー＞［ファイル］タブで編集可能なサービス カスタム インデックス ファイルを構成するための重要な情報やガイドラインについて説明します。
インデックス ファイルは、他の設定ファイルとともに、各コア サービスの処理を制御します。NetWitness Suiteの［サービス］の［構成］ビューでインデックス ファイルを開くと、テキスト エディタで該当ファイルが開き、ファイルを編集できます。
注：インデックス ファイルに変更を加える場合には、コア サービス構成に関する詳細で包括的な知識を持つ管理者のみが実施するようにしてください。インデックス ファイルは、アプライアンス サービスの核となる設定ファイルの1つです。変更はすべてのコア サービスで同じように行う必要があります。無効な値が入力されたりファイルが誤って構成されたりすると、システムが開始できない状態になることがあり、結果的にRSAのサポートが必要になる場合もあります。
インデックス ファイルには次のものがあります。
- index-broker.xmlおよび index-brokercustom.xml
- index-concentrator.xmlおよびindex-concentrator‐custom.xml
- index-decoder.xmlおよびindex-decodercustom.xml
- index-logdecoder.xmlおよびindex-logdecodercustom.xml
- index-archiver.xmlおよび index-archiver‐custom.xml
- index-workbench.xmlおよびindex-workbench‐custom.xml
インデックス ファイルとカスタム インデックス ファイル
ユーザ独自のインデックスの変更はすべて、index-<service>-custom.xmlで行われます。このファイルは、RSAでのみ制御するindex-<service>.xmlのすべての設定をオーバーライドします。
注：10.1より前のバージョンのNetWitness Suiteでは、インデックス ファイルをカスタマイズするにはインデックス ファイルを編集して保存する必要があり、また、この方法は、サービスの再開時に現在のインデックス ファイルのバックアップを作成するNetWitness Suiteに依存していました。このようにして、最新のファイルが上書きされ、バックアップ ファイルが作成されていました。ツールバー オプションでは、インデックス ファイルをバックアップ バージョンに戻すことができます。
ソフトウェア アップグレード中、index-<service>.xmlは保存されません。このファイルは、RSAコンテンツ チームによる変更によって上書きされます。ただし、同じディレクトリにindex-<service>.xml.rpm_pre_saveという名前のバックアップが作成され、必要に応じて、このindex-<service>.xml.rpm_pre_saveファイルを参照して、お客様固有の index-<service>-custom.xmlファイルを作成することができます。この処理を行う必要があるのは1回だけです。以降のRSAのアップグレード プロセスでは、ユーザ独自のインデックス設定を変更せずに、インデックスに変更を加えられます。
カスタム インデックス ファイル（index-<service>‐custom.xml）を使用することによって、アップグレード プロセスによる変更の影響を受けずに、独自のlanguageキーの定義や設定のオーバーライドを行うことができます。
- index-<service>‐custom.xmlで定義されているキーは、index-<service>.xmlで検出された定義を置き換えます。
- index-<service>custom.xmlに追加され、index‐<service>.xmlに存在しないキーは、新しいキーとしてlanguageに追加されます。
インデックス ファイルを編集する応用例としては、次のものがあります。
- 新しいカスタム メタ キーを追加して、NetWitness Suiteのユーザ インタフェースに新しいフィールドを追加する。
- 「データ プライバシーの管理」のガイドで説明されているように、データのプライバシー対策の一環として保護されたメタ キーを構成する。
- 「NetWitness Suiteコア データベース チューニング ガイド」で説明されているように、NetWitness Suiteコア データベース クエリのパフォーマンスを調整する。
注：NetWitness Suite 10.1以降では、データ プライバシーの導入シナリオとシステム ロールを除いては、Brokerカスタム インデックス ファイルを編集する必要はありません。Brokerでは包括的なlanguage定義を作成するために、すべてのサービス集計のキーを自動的にマージします。サービスが存在しない場合、またはすべてのサービスがオフラインである場合、index‐broker.xmlおよびindexbroker-custom.xmlで定義されたフォールバック言語が使用されます。
注意：Decoderから集計するConcentratorまたはArchiverがある場合は、DecoderのIndexKeysまたはIndexValuesにインデックス レベルを設定しないでください。デフォルトのtimeメタ キーを超えるインデックス作成をサポートするには、インデックスのパーティション サイズが小さ過ぎます。
Crash Reporterサービスの有効化
Crash Reporterは、NetWitness Suiteデバイスのオプション サービスです。コア サービスがアクティブ化されると、Crash Reporterは、自動的に情報のパッケージを生成し、サービス停止が発生した場合に、その原因の診断や解決のために使用されます。パッケージは、解析のためにRSAに自動的に送信するよう設定できます。送信された内容は、調査のためにRSAサポート部門に転送されます。
RSAに送信される情報パッケージには、収集されたデータは含まれません。この情報パッケージは、次の情報で構成されます。
- スタック トレース
- ログ
- 構成設定
- ソフトウェア バージョン
- CPU情報
- インストールされたRPM
- ディスク ジオメトリ
Crash Reporterによるクラッシュの解析は、コア製品に対してアクティブ化できます。
crashreporter.cfgファイル
［サービス］の［構成］ビュー＞［ファイル］タブで編集可能なファイルの1つに、Crash Reporterクライアント サーバ設定ファイルcrashreporter.cfgがあります。
このファイルは、ホスト上でCrash Reportのチェック、更新、作成を行うスクリプトによって使用されます。監視する製品としては、Decoder、Concentrator、ホスト、Brokerを含めることができます。
次の表で、crashreporter.cfgファイルの設定について説明します。
Crash Reporter Serviceの構成
Crash Reporter Serviceを構成するには、次の手順を実行します。
- ［管理］＞［サービス］を選択します。
- サービスを選択し、＞［表示］＞［構成］をクリックします。
- ［ファイル］タブを選択します。
- crashreporter.cfgを編集します。
- ［保存］をクリックします。
- ［サービス］の［システム］ビューを表示するには、［構成］＞［システム］を選択します。
- サービスを再起動するには、
をクリックします。
サービスをシャットダウンして再起動します。
Crash Reporterサービスの開始と停止
Crash Reporterサービスを開始するには、次の手順を実行します。
- ［管理］＞［サービス］を選択します。
- サービスを選択し、＞［表示］＞［システム］をクリックします。
- ツールバーでをクリックします。
［ホスト タスク リスト］が表示されます。 - ［タスク］ドロップダウン リストで、［サービスの開始］を選択します。
- ［引数］フィールドに「crashreporter」と入力し、［実行］をクリックします。
Crash Reporterサービスが起動起動されます。サービスは停止されるまで有効です。
Crash Reporterサービスを停止するには、［タスク］ドロップダウン リストで［サービスの停止］を選択します。
テーブル マップ ファイルの維持
RSAによって提供されるテーブル マッピング ファイルtable-map.xmlは、Log Decoderを構成する非常に重要な要素です。このファイルは、ログParserで使用されるキーをMetaDBのキーにマッピングするメタ定義ファイルです。
table-map.xmlファイルは編集しないでください。 table-mapに変更を加える必要がある場合は、table-map-custom.xmlファイルで変更を行います。最新のtable-map.xmlファイルはLiveから入手でき、RSAでは必要に応じてこのファイルを更新しています。table-map.xmlファイルに変更を加えても、サービスまたはコンテンツのアップグレード中に上書きされる可能性があります。
table-map.xmlでは、Transientに設定されるメタ キーとNoneに設定されるメタ キーがあります。特定のメタ キーを格納し、インデックスを作成するには、キーはNoneに設定されている必要があります。マッピングを変更するには、Log Decoderでtable-map-custom.xmlという名前のファイルのコピーを作成し、メタ キーをNoneに設定する必要がありあます。
メタ キーのインデックスづけについて
- Log Decoderでtable-map.xmlファイルのキーにNoneマークがついている場合、そのキーはインデックスづけされていることを意味します。
- Log Decoderでtable-map.xmlファイルのキーにTransientマークがついている場合、そのキーはインデックスづけされていないことを意味します。キーをインデックスづけするには、table-map-custom.xmlファイルにエントリーをコピーして、キーワードflags="Transient"をflags="None"に変更します。
- キーがtable-map.xmlファイルに含まれていない場合は、Log Decoderでtable-map-custom.xmlファイルにエントリーを追加します。
注意：table-map.xmlファイルはアップグレードによって上書きされる可能性があるため、更新しないでください。必要な変更はすべてtable-map-custom.xmlファイルに追加します。
前提条件
Log Decoderにtable-map-custom.xmlファイルがない場合は、table-map.xmlのコピーを作成し、名前をtable-map-custom.xmlに変更します。
処理手順
テーブル マッピング ファイルを検証して更新するには、次の手順を実行します。
- ［管理］＞［サービス］に移動します。
- ［サービス］グリッドで、Log Decoderを選択し、＞［表示］＞［構成］をクリックします。
- ［ファイル］タブをクリックして、table-map.xmlファイルを選択します。
- flagsキーワードがTransientまたはNoneに正しく設定されていることを確認します。
- エントリーを変更する必要がある場合は、table-map.xml ファイルを変更しないでください。代わりに、エントリーをコピーし、table-map-custom.xmlファイルを選択して、そのtable-map-custom.xmlファイルでエントリーを検索し、flagsキーワードをTransientからNoneに変更します。
たとえば、hardware.idメタ キー（table-map.xmlファイル）の次のエントリーはインデックスが付けられていません。また、flagsキーワードはTransient: として表示されています
<mapping envisionName="hardware_id" nwName="hardware.id" flags="Transient"/>
hardware.idメタ キーにインデックスを付けるには、table-map-custom.xmlでflagsキーワードをTransientからNoneに変更します。
<mapping envisionName="hardware_id" nwName="hardware.id" flags="None"/> - エントリーがtable-map.xmlファイルに含まれていない場合は、table-map-custom.xmlファイルにエントリーを追加します。
- table-map-custom.xmlファイルに変更を加えた後で、［適用］をクリックします。
注意：テーブル マッピング ファイルを変更する前に、インデックスをTransientからNoneに変更することによる影響を慎重に検討してください。使用可能なストレージ容量とLog Decoderのパフォーマンスに影響が及ぶ可能性があります。そのため、デフォルトでインデックスづけされるのは特定のメタ キーに限られています。table-map-custom.xmlファイルはさまざまな用途で使用します。
サービスの編集または削除
ホスト名またはポート番号の変更など、サービス設定を変更したり、必要なくなったサービスを削除したりできます。
［サービス］ビューで次の各手順を実行します。
［サービス］ビューに移動するには、NetWitness Suiteで、［管理］＞［サービス］に移動します。
手順
サービスの編集
- ［サービス］ビューで、サービスを選択し、
または
＞［編集］をクリックします。
［サービスの編集］ダイアログが表示されます。ここには、選択したサービスに適用されるフィールドのみが表示されます。
- 次のいずれかのフィールドを変更して、サービスの詳細を編集します。
- 名前
- ポート - 各コア サービスには、SSLと非SSLの2つのポートがあります。信頼関係接続の場合、SSLポートを使用する必要があります。
- SSL - 信頼関係接続の場合、SSLを使用する必要があります。
- ［ユーザ名］および［パスワード］ - これらの認証情報を使用して、サービスへの接続をテストします。
- 信頼関係接続を使用する場合、ユーザ名は削除します。
信頼関係接続を使用しない場合、ユーザ名およびパスワードを入力します。 - ［接続のテスト］をクリックします。
- 信頼関係接続を使用する場合、ユーザ名は削除します。
- （オプション）サービスにライセンスが必要な場合、［サービスのエンタイトルメント］を選択します。このオプションは、ライセンスを必要とするサービスについてのみ表示されます。
- ［保存］をクリックします。
変更はすぐに反映されます。
サービスの削除
- ［サービス］ビューで、1つ以上のサービスを選択し、
または
＞［削除］をクリックします。 - 確認のダイアログが表示されます。サービスを削除するには、［はい］をクリックします。
削除されたサービスは、NetWitness Suiteモジュールで使用できなくなります。
サービスのプロパティ ツリーの表示と編集
［サービス］の［エクスプローラ］ビューでは、サービスの詳細な設定にアクセスし、制御することができます。このビューは2つの部分で構成されます。［ノード］リストには、フォルダのツリー構造でサービス機能が表示されます。［監視］パネルには、［ノード］リストで選択したフォルダまたはファイルのプロパティが表示されます。
［エクスプローラ］ビューで次の各手順を実行します。
［エクスプローラ］ビューに移動する方法
- NetWitness Suiteで、［管理］＞［サービス］に移動します。
- サービスを選択して、
＞［表示］＞［エクスプローラ］を選択します。
［エクスプローラ］ビューが表示されます。［ノード］リストは左側に、［監視］パネルは右側にあります。
手順
サービス プロパティの表示または編集
サービス プロパティを表示する方法
- ［ノード］リストまたは［監視］パネルでファイルを右クリックします。
- プロパティをクリックします。
サービス プロパティの値を編集する方法
- ［監視］パネルで、編集可能なプロパティ値を選択します。
- 新しい値を入力します。
ノードへのメッセージの送信
- ［プロパティ］ダイアログで、メッセージ タイプを選択します。［ノード］リストで選択したファイルによってオプションは異なります。
選択したメッセージ タイプの説明が［メッセージのヘルプ］フィールドに表示されます。 - （オプション）メッセージの実行に必要な場合は、パラメータを入力します。
- ［送信］をクリックします。
値または形式は、［応答出力］フィールドに表示されます。
サービスへの接続の切断
サービスの［システム］ビューで、サービスで実行しているセッションを表示できます。このセッション リストからセッションを終了したり、セッションで実行中のクエリを終了したりすることができます。
サービスのセッションの終了
- NetWitness Suiteで、［管理］＞［サービス］に移動します。
［管理］の［サービス］ビューが表示されます。 - サービスを選択し、
＞［表示］＞［システム］を選択します。
［サービス］の［システム］ビューが表示されます。
- 下部の［セッション情報］グリッドで、session-numberをクリックします。
次の確認ダイアログが表示されます。
- ［はい］をクリックします。
セッションが終了し、グリッドから削除されます。
セッションのアクティブなクエリの終了
- ［セッション］グリッドまでスクロールします。
- ［アクティブなクエリ］列で、セッションのアクティブなクエリ数としてゼロ以外の数をクリックします。アクティブなクエリ数がゼロである場合は、クリックできません。
［アクティブなクエリ］ダイアログが表示されます。
- クエリを選択し、［クエリのキャンセル］をクリックします。
クエリが停止し、［アクティブなクエリ］の列が更新されます。
サービスの検索
［サービス］ビューに表示されるサービスの一覧から目的のサービスを検索することができます。［サービス］ビューでは、名前、ホスト、サービス タイプによって、サービスの一覧をすばやくフィルタ表示することができます。［フィルタ］ドロップダウン メニューと［フィルタ］フィールドを別々に使用するか、同時に使用して［サービス］ビューをフィルタ表示します。
［サービス］ビューで各ホストのサービスを確認できます。また、［ホスト］ビューでも、各ホスト上で実行されるサービスをすばやく見つけることができます。
サービスの検索
- NetWitness Suiteで、［管理］＞［サービス］に移動します。
-
［サービス］パネル ツールバーの［フィルタ］フィールドに、サービスの名前またはホストを入力します。
［フィルタ］フィールドに入力した名前と一致するサービスが［サービス］パネルに一覧表示されます。次の例は、［フィルタ］フィールドにlogと入力した後の検索結果を示しています。
サービスのタイプによるフィルタリング
- NetWitness Suiteで、［管理］＞［サービス］に移動します。
-
［サービス］ビューで、
をクリックし、［サービス］ビューに表示したいサービス タイプを選択します。
選択したサービス タイプが［サービス］ビューに表示されます。次の例は、［Concentrator］と［Decoder］でフィルタした［サービス］ビューを示しています。
ホスト上のサービスの検索
［サービス］ビューで各ホストのサービスを確認できます。また、［ホスト］ビューでも、各ホスト上で実行されるサービスをすばやく見つけることができます。
- NetWitness Suiteで、［管理］＞［ホスト］に移動します。
- ［ホスト］ビューでホストを選択し、［サービス］列の数字（サービス数）が表示されているボックスをクリックします。
選択したホスト上のサービスが一覧表示されます。
次の例は、3という数字が表示されているボックスをクリックしたイメージです。選択したホスト上の3つのサービスが一覧表示されています。
- サービスのリンクをクリックすると、対応するサービスが［サービス］ビューに表示されます。
サービスの起動、停止、再起動
これらの手順は、コア サービスのみに適用されます。
［サービス］ビューで次の各手順を実行します。NetWitness Suiteで、［管理］＞［サービス］に移動します。
サービスの開始
サービスを選択して
＞［開始］をクリックします。
サービスの停止
サービスを停止すると、そのサービスのプロセスもすべて停止し、アクティブ ユーザはサービスから切断されます。
サービスを停止するには、次の手順を実行します。
- サービスを選択し、
＞［停止］をクリックします。 - 確認のダイアログが表示されます。サービスを停止するには、［はい］をクリックします。
サービスの再起動
構成変更の適用などで、サービスの再起動が必要な場合があります。再起動が必要なパラメータを変更した場合は、NetWitness Suiteにメッセージが表示されます。
サービスを再起動するには、次の手順を実行します。
- サービスを選択し、
＞［再起動］をクリックします。 - 確認のダイアログが表示されます。サービスを停止するには、［はい］をクリックします。
サービスがいったん停止してから自動的に再起動します。
サービスの詳細の表示
サービスの情報を表示および編集するには、サービスの［表示］メニューにあるオプションを使用します。
各サービス ビューの目的
各ビューには、サービスの機能とその説明が個別に表示されます。
- ［システム］ビューには、サービス、アプライアンス サービス、ホスト ユーザ、ライセンス、セッションに関する情報のサマリが表示されます。
- ［サービス］の［統計］ビューには、サービスの動作とステータスを監視する方法が用意されています。
- ［サービス］の［構成］ビューでは、サービスの詳細を構成できます。
- ［サービス］の［エクスプローラ］ビューでは、ホストとサービスの構成を表示および編集できます。
- ［システム ログ］パネルには、検索可能なサービス ログが表示されます。
- ［サービス］の「セキュリティ」ビューでは、Security Analyticsのコア ユーザ アカウント（集計用）、シック クライアント ユーザ、REST APIユーザを追加できます。
サービス ビューへのアクセス
サービスの各ビューにアクセスするには、次の手順を実行します。
- NetWitness Suiteで、［管理］＞［サービス］に移動します。
-
サービスを選択し、
＞［表示］をクリックします。［表示］メニューが表示されます。
-
オプションからビューを選択します。
以下はBrokerの［システム］ビューです。
-
以下のツールバーを使用してナビゲートします。
- 別のサービスを選択するには、［サービスの変更］をクリックします。
［サービスの管理］ダイアログが表示されます。 - 目的のサービスの左側にあるチェックボックスをオンにします。
-
［表示］ドロップダウン メニューで選択したサービスに使用するビューを選択します。
新しいビュー（たとえば、統計）が、選択したサービスに対して表示されます。
- 別のサービスを選択するには、［サービスの変更］をクリックします。
