Systemwartung: Vordefinierte Security Analytics-Richtlinien

[#1]

 

In der folgenden Tabelle sind die vordefinierten NetWitness Suite-Richtlinien mit den für die einzelnen Richtlinien definierten Regeln aufgeführt.

Auf dieser Registerkarte können Sie folgende Aufgaben für diese Richtlinien ausführen:

• Ändern der Service-/Gruppenzuweisungen
• Aktivieren/Deaktivieren der Zuweisungen

Folgende Aufgaben können Sie nicht für diese Richtlinien ausführen:

• Löschen der Richtlinien
• Bearbeiten der Richtliniennamen

Hinweis: Weitere Informationen über die vordefinierten Richtlinien finden Sie in der Benutzeroberfläche unter „
Integrität und Zustand“ > „Richtlinien“. 

                                                                                                                                                                                                                                                                                                                                                                                         

Richtlinienname	Name der Regel	Ausgelöster Alarm
	Ausfall der Kommunikation zwischen dem Security Analytics-Masterhost und einem Remotehost	Mindestens 10 Minuten lang ist der Host nicht verfügbar, das Netzwerk ist nicht bereit, Message Broker wird heruntergefahren oder Sicherheitszertifikate sind ungültig oder fehlen.
NetWitness-Server Überwachungsrichtlinie	Kritische Nutzung des Rabbitmq Message Broker-Dateisystems	Für var/lib/rabbitmq übersteigt die Datenträgernutzung des gemounteten Dateisystems 75 %.
	Dateisystem ist ausgelastet.	Die gesamte Datenträgernutzung des gemounteten Dateisystems erreicht 100 %.
	Hohe Nutzung des Dateisystems	Die gesamte Datenträgernutzung des gemounteten Dateisystems übersteigt 95 %.
	Hohe Nutzung des System-Swap	Die Swap-Nutzung liegt mindestens 5 Minuten lang unter 5 %.
	Hohe Nutzung des Rabbitmq Message Broker-Dateisystems	Datenträgernutzung des gemounteten Dateisystems für var/lib/rabbitmq übersteigt 60 %.
	Host nicht erreichbar	Der Host wird nicht ausgeführt.
	Status des LogCollector-Ereignisprozessors mit Exchange-Bindungen	Es gibt mindestens 10 Minuten lange Probleme mit der Message Broker-Warteschlange für die Protokollsammlung.
	Warteschlange des LogCollector-Ereignisprozessors ohne Bindungen	Es gibt mindestens 10 Minuten lange Probleme mit der Message Broker-Warteschlange für die Protokollsammlung.
	Warteschlange des LogCollector-Ereignisprozessors ohne Verbraucher	Es gibt mindestens 10 Minuten lange Probleme mit der Message Broker-Warteschlange für die Protokollsammlung.
	Netzteil-Ausfall	Der Host ist nicht eingeschaltet.
	Logisches RAID-Laufwerk heruntergestuft	Der Laufwerksstatus für ein logisches RAID-Laufwerk lautet „Heruntergestuft“ oder „Teilweise heruntergestuft“.
	Fehler am logischen RAID-Laufwerk	Der Laufwerksstatus für ein logisches RAID-Laufwerk ist „Offline“, „Fehlgeschlagen“ oder „Unbekannt“.
	Erneuter Aufbau des logischen RAID-Laufwerks	Der Laufwerksstatus für ein logisches RAID-Laufwerk ist „Erneuter Aufbau“.
	Fehler am physischen RAID-Laufwerk	Der Status das physischen RAID-Laufwerks ist nicht „Online“, „Online, Spun Up“ oder „HotSpare“.
	Vorhergesagter Fehler am physischen RAID-Laufwerk	Der Zähler für vorhergesagte Fehler am phyischen RAID-Laufwerk ist größer 1.
	Erneuter Aufbau des physischen RAID-Laufwerks	Der Laufwerksstatus für ein physisches RAID-Laufwerk ist „Erneuter Aufbau“.
	Nicht konfiguriertes physisches RAID-Laufwerk	Der Laufwerksstatus des physischen RAID-Laufwerks ist „Unconfigured (good)“.
	Fehler an SD-Karte	Der Status der SD-Karte ist nicht „OK“.
NetWitness SuiteRichtlinie für die Überwachung von Archiver	Archiver-Aggregation beendet	Der Status von Archiver lautet nicht „gestartet“.
	Archiver-Datenbank(en) nicht geöffnet	Der Datenbankstatus lautet nicht „geöffnet“.
	Archiver nutzt den Service nicht	Der Gerätestatus lautet nicht „wird genutzt“.
	Archiver-Service in schlechtem Zustand	Der Status des Services lautet nicht „gestartet“ oder „bereit“.
	Archiver-Service angehalten	Der Serverstatus lautet nicht „gestartet“.
NetWitness SuiteRichtlinie für die Überwachung von Broker	Broker >5 anstehende Abfragen	10 Minuten lang sind mindestens 5 Abfragen ausstehend.
	Broker-Aggregation beendet	Der Status von Broker lautet nicht „gestartet“.
	Broker nutzt den Service nicht	Der Gerätestatus lautet nicht „wird genutzt“.
	Broker-Service in schlechtem Zustand	Der Status des Services lautet nicht „gestartet“ oder „bereit“.
	Broker-Service angehalten	Der Serverstatus lautet nicht „gestartet“.
	Broker-Sitzungsrate gleich null	Die (derzeitige) Sitzungsrate beträgt mindestens eine Minute lang 0.
NetWitness Suite Richtlinie für die Überwachung von Concentrator	Concentrator >5 anstehende Abfragen	10 Minuten lang sind mindestens 5 Abfragen ausstehend.
	Concentrator-Aggregation >100K Sitzungen zurück	Gerätesitzungen sind mindestens 1 Minute lang größer oder gleich 100.000 Sitzungen zurück.
	Concentrator-Aggregation >1M Sitzungen zurück	Gerätesitzungen sind mindestens 1 Minute lang größer oder gleich 1.000.000 Sitzungen zurück
	Concentrator-Aggregation >50M Sitzungen zurück	Gerätesitzungen sind mindestens 1 Minute lang größer oder gleich 50.000.000.Sitzungen zurück
	Concentrator-Aggregation beendet	Der Status von Broker lautet nicht „gestartet“.
	Concentrator-Datenbank(en) nicht geöffnet	Der Datenbankstatus lautet nicht „geöffnet“.
	Concentrator-Metarate Null	Die (aktuelle) Metarate von Concentrator beträgt mindestens 2 Minuten lang 0.
	Concentrator nutzt den Service nicht	Der Gerätestatus lautet nicht „wird genutzt“.
	Concentrator-Service in schlechtem Zustand	Der Status des Services lautet nicht „gestartet“ oder „bereit“.
	Concentrator-Service angehalten	Der Serverstatus lautet nicht „gestartet“.
NetWitness SuiteRichtlinie für die Überwachung von Decoder	Erfassung durch Decoder nicht gestartet	Der Erfassungsstatus lautet nicht „gestartet“.
	Erfassungsrate Decoder Null	Die (aktuelle) Erfassungsrate beträgt mindestens 2 Minuten lang 0.
	Decoder-Datenbank nicht geöffnet	Der Datenbankstatus lautet nicht „geöffnet“.
	Decoder hat >1 % der Pakete abgelegt	Der Prozentsatz der abgelegten Erfassungspakete ist (derzeit) größer oder gleich 1 %.
	Decoder hat >10 % der Pakete abgelegt	Der Prozentsatz der abgelegten Erfassungspakete ist (derzeit) größer oder gleich 10 %.
	Decoder hat >5 % der Pakete abgelegt	Der Prozentsatz der abgelegten Erfassungspakete ist (derzeit) größer oder gleich 5 %.
	Der Erfassungspaketpool von Decoder ist erschöpft	Die Warteschlage für die Paketerfassung ist mindestens 2 Minuten lang 0.
	Decoder-Service in schlechtem Zustand	Der Status des Services lautet nicht „gestartet“ oder „bereit“.
	Decoder-Service angehalten	Der Serverstatus lautet nicht „gestartet“.
NetWitness Suite Richtlinie für die Überwachung von Event Stream Analysis	ESA-Gesamtspeicherauslastung > 85 %	Die gesamte prozentuale Speichernutzung durch ESA ist größer oder gleich 85 %.
	ESA-Gesamtspeicherauslastung > 95 %	Die gesamte prozentuale Speichernutzung durch ESA ist größer oder gleich 95 %.
	ESA-Service angehalten	Der Serverstatus lautet nicht „gestartet“.
	ESA-Testregeln deaktiviert	Der Status der Testregeln lautet nicht „aktiviert“.
NetWitness Suite Richtlinie für die Überwachung von IPDB Extractor	IPDB Extractor-Service in schlechtem Zustand	Der Status des Services lautet nicht „gestartet“ oder „bereit“.
	IPDB Extractor-Service angehalten	Der Serverstatus lautet nicht „gestartet“.
NetWitness Suite Richtlinie für die Überwachung von Incident-Management	Incident Management-Service angehalten	Der Serverstatus lautet nicht „gestartet“.
NetWitness Suite Richtlinie für die Überwachung von Log Collector	Log Collector-Service angehalten	Der Serverstatus lautet nicht „gestartet“.
	Log Decoder-Ereignisquelle >50 % voll	Die Anzahl der derzeit in der Warteschlange vorhandenen Ereignisse nutzt mindestens 50 % der Warteschlange.
	Log Decoder-Ereignisquelle >80 % voll	Die Anzahl der derzeit in der Warteschlange vorhandenen Ereignisse nutzt mindestens 80 % der Warteschlange.
	Log Collector-Service in schlechtem Zustand	Der Status des Services lautet nicht „gestartet“ oder „bereit“.
NetWitness SuiteRichtlinie für die Überwachung von Log Decoder	Decoder hat > 10 % der Pakete abgelegt	Der Prozentsatz der abgelegten Erfassungspakete ist (derzeit) größer oder gleich 10 %.
	Protokollerfassung nicht gestartet	Der Erfassungsstatus lautet nicht „gestartet“.
	Erfassungsrate Log Decoder Null	Die (aktuelle) Erfassungsrate beträgt mindestens 2 Minuten lang 0.
	Log Decoder-Datenbank nicht geöffnet	Der Datenbankstatus lautet nicht „geöffnet“.
	Log Decoder hat >1 % der Protokolle abgelegt	Der Prozentsatz der abgelegten Erfassungspakete ist (derzeit) größer oder gleich 1 %.
	Log Decoder hat >5 % der Protokolle abgelegt	Der Prozentsatz der abgelegten Erfassungspakete ist (derzeit) größer oder gleich 5 %.
	Der Erfassungspaketpool von Log Decoder ist erschöpft	Die Warteschlage für die Paketerfassung ist mindestens 2 Minuten lang 0.
	Log Decoder-Service angehalten	Der Serverstatus lautet nicht „gestartet“.
	Log Decoder-Service in schlechtem Zustand	Der Status des Services lautet nicht „gestartet“ oder „bereit“.
NetWitness Suite Richtlinie für die Überwachung von Malware Analysis	Malware Analysis-Service angehalten	Der Serverstatus lautet nicht „gestartet“.
NetWitness Suite Richtlinie für die Überwachung von Reporting Engine	Kritische Verwendung von Reporting Engine-Warnmeldungen	Es werden mindestens 5 Minuten lang größer oder gleich 10 Warnmeldungen verwendet.
	Verfügbarer Datenträgerplatz für Reporting Engine <10 %	Der verfügbare Speicherplatz auf dem Datenträger beträgt weniger als 10 %.
	Verfügbarer Datenträgerplatz für Reporting Engine <5 %	Der verfügbare Speicherplatz auf dem Datenträger beträgt weniger als 5 %.
	Kritische Verwendung von Reporting Engine-Diagrammen	Es werden mindestens 5 Minuten lang größer oder gleich 10 Diagramme verwendet.
	Kritische Verwendung von Reporting Engine-Regeln	Es werden mindestens 5 Minuten lang größer oder gleich 10 Regeln verwendet.
	Kritische Verwendung von Reporting Engine-Pools für geplante Aufgaben	Es werden mindestens 15 Minuten lang größer oder gleich 10 Pools für geplante Aufgaben verwendet.
	Reporting Engine-Service angehalten	Der Serverstatus lautet nicht „gestartet“.
	Kritische Verwendung von freigegebenen Aufgaben in Reporting Engine	Es werden mindestens 5 Minuten lang größer oder gleich 10 Pools für freigebene Aufgaben verwendet.
NetWitness Suite Richtlinie für die Überwachung von Warehouse Connector	Warehouse Connector-Service in schlechtem Zustand	Der Status des Services lautet nicht „gestartet“ oder „bereit“.
	Warehouse Connector-Service angehalten	Der Serverstatus lautet nicht „gestartet“.
	Warehouse Connector-Stream zurück	Der Stream ist größer oder gleich 2000000 zurück.
	Warehouse Connector-Stream Datenträgernutzung > 75 %	Die Datenträgernutzung des Stream (Anstehende Ziellast) ist größer oder gleich 75.
	Warehouse Connector-Stream in schlechtem Zustand	Der Streamstatus zeigt mindestens 10 Minuten lang keine Nutzung oder ist nicht online
	Permanent durch den Warehouse Connector-Stream abgelehnte Dateien > 300	Die Anzahl der permanent abgelehnten Daten beträgt größer oder gleich 300.
	Permanent durch den Warehouse Connector-Stream abgelehnte Ordner > 75 % voll	Die Nutzung durch abgelehnte Ordner ist größer oder gleich 75 %.
NetWitness Suite Richtlinie für die Überwachung von Workbench	Workbench-Service in schlechtem Zustand	Der Status des Services lautet nicht „gestartet“ oder „bereit“.
	Workbench-Service angehalten	Der Serverstatus lautet nicht „gestartet“.

Previous Topic:E-Mail-Vorlagen für „Integrität und Zustand“

Next Topic:Systemstatistik-Browseransicht

You are here

Table of Contents > Referenzen > Integrität und Zustand > Ansicht „Richtlinien“ > Vordefinierte Richtlinien für NetWitness Suite