CA Technologies Module CA User Activity Reporting Guida all'implementazione

228)

Creazione di una mappa della federazione

La creazione di una mappa della federazione è un passaggio utile per la pianificazione e l'implementazione della configurazione della federazione. Più la rete è larga, più questa mappa sarà utile durante le attività della configurazione attuale. È possibile utilizzare qualsiasi grafico commerciale o programma di disegno o abbozzare la mappa a mano. Maggiori sono i dettagli forniti nella mappa, più sarà veloce la configurazione.

Creazione di una mappa della federazione

1. Avviare la mappa con due server CA User Activity Reporting Module di base, di gestione e di raccolta, e fornire i dettagli di ognuno.

2. Decidere se sono necessari altri server di raccolta e se rappresentano il livello più alto di una gerarchia o unità della combinazione.

32 Guida all'implementazione

Pianificazione di una federazione

3. Decidere quale tipo di federazione si adatta meglio alle proprie esigenze, gerarchico o a coppie.

4. Identificare le opportunità di gerarchie, rami o interconnessioni in base alle esigenze aziendali relative a rapporti, conformità e produzione di eventi.

Ad esempio, se l'azienda dispone di uffici in tre continenti, è possibile decidere di creare tre generazioni gerarchiche. È inoltre possibile decidere di disporre a coppie le gerarchie ad un livello elevato, in modo che dirigenti senior e gestione della sicurezza possano produrre rapporti che coprono l'intera rete. È necessario come minimo federare i server CA User Activity

Reporting Module di inserimento e query dell'ambiente di base.

5. Decidere quanti server CA User Activity Reporting Module in totale è necessario distribuire.

Questo valore si basa sul numero di periferiche nella rete e sul volume di eventi che generano.

6. Decidere quanti layer di server federati sono necessari.

Questo numero si basa in parte sulle decisioni che vengono prese nei passaggi 2 e 3.

7. Identificare i tipi di evento che ogni server CA User Activity Reporting

Module riceve nella federazione.

Se la rete ha un gran numero di periferiche basate su syslog e solo pochi server Windows, è possibile decidere di allocare un server CA User Activity

Reporting Module appositamente per la raccolta eventi di Windows. Sono necessari server diversi per gestire il traffico degli eventi syslog. La pianificazione in anticipo di quali server CA User Activity Reporting Module ricevono quale tipo di eventi semplifica la configurazione dei listener e dei servizi locali.

8. Abbozzare una mappa di questa rete da utilizzare durante la configurazione dei server (figlio) CA User Activity Reporting Module federati.

Includere i nomi e gli indirizzi IP dei DNS nella mappa, se noti. Si utilizzeranno i nomi DNS dei server CA User Activity Reporting Module per configurare le relazioni della federazione tra di essi.

Capitolo 2: Pianificazione dell'ambiente 33

Pianificazione di una federazione

Esempio: mappa federazione di una grande impresa

Quando si crea la mappa di una federazione, considerare i tipi di rapporti per cui si vogliono set diversi di dati consolidati. Ad esempio, considerare lo scenario in cui si vogliono dati consolidati utilizzando tre tipi di raggruppamenti di server:

■

Tutti i server

■

Per i rapporti di sistema sugli eventi di automonitoraggio, l'inclusione di tutti i server permette di valutare la salute dell'intera rete di server CA User

Activity Reporting Module in una volta sola.

Tutti i server di rapporto

■

Per i rapporti di riepilogo e delle tendenze in cui si desidera esaminare i dati raccolti da tutti gli agenti che inviano dati a tutti i server di raccolta evitando che i server di raccolta elaborino le query sui nuovi eventi hot, è necessario eseguire rapporti federati che comprendono solo i server di rapporto.

Un set di server di raccolta con il relativo server di rapporto

Per i rapporti in cui si desidera che i dati siano limitati in locale con un server di rapporto, ma in cui il rapporto deve comprendere gli eventi non ancora inviati a tale server dai relativi server di raccolta, è necessario eseguire rapporti federati su questo sottoinsieme di server.

A seguire, un esempio di mappa di federazione che permette di soddisfare questi obiettivi dei rapporti:

34 Guida all'implementazione

Pianificazione di una federazione

Per implementare la realizzazione di questa mappa di federazione, è necessario intraprendere le seguenti azioni:

■

Creare una federazione gerarchica dal server di gestione a un server di raccolta relativo a ogni server di rapporto in cui il server di gestione è il server padre e ogni server di raccolta è il server figlio.

■

Creare una federazione completamente a coppie tra i server di raccolta per ciascun server di rapporto.

■

Creare una federazione gerarchica da ciascun server di raccolta al relativo server di rapporto in cui il server di raccolta è il server padre e il server di rapporto è il server figlio.

■

Creare una federazione completamente a coppie tra i server di rapporto.

Capitolo 2: Pianificazione dell'ambiente 35

Pianificazione di una federazione

Per soddisfare un determinato obiettivo di rapporti, è importante eseguire il rapporto da un server rappresentato da una posizione particolare sulla mappa della federazione. Ecco alcuni esempi:

■

Per generare un rapporto di sistema su eventi di automonitoraggio che si verificano su ogni CA User Activity Reporting Module nella rete, eseguire il rapporto dal server di gestione.

■

Per generare rapporti di riepilogo e delle tendenze da tutti i server di rapporto della rete, eseguire il rapporto da qualsiasi server di rapporto.

■

Per generare un rapporto sui dati che risiedono in un server di rapporto e nei relativi server di raccolta, eseguire il rapporto da uno di questi server di raccolta.

Esempio: mappa della federazione per un'impresa di medie dimensioni

Prima di creare una mappa della federazione, stabilire il numero di server da dedicare a ciascun ruolo server. Nell'esempio seguente, un server è dedicato alla gestione e ai rapporti e i server restanti sono dedicati alla raccolta. Si consiglia questa configurazione per un ambiente di medie dimensioni. È possibile concepire l'architettura dei server di gestione/rapporto e dei server di raccolta come hub e spoke in cui il server di gestione/rapporto rappresenta l'hub. Il diagramma della mappa della federazione non rispecchia questa configurazione, bensì mostra i livelli in modo da poter facilmente distinguere le coppie federate in modo gerarchico da quelle a coppia.

Quando si crea la mappa di una federazione, considerare i tipi di rapporto per cui si desiderano set diversi di dati consolidati. Ad esempio, considerare lo scenario in cui si desiderano dati consolidati utilizzando tre tipi di raggruppamenti di server:

■

Solo il server di gestione/rapporto

■

Per la maggior parte dei rapporti in cui si desidera esaminare gli eventi archiviati di recente (warm) evitando che i server di raccolta elaborino le query per i nuovi eventi (hot)

Nota: gli eventi vengono generalmente archiviati dai server di raccolta

(spoke) al server di rapporto (hub) ogni ora.

Tutti i server

Per i rapporti di sistema sugli eventi di automonitoraggio in cui si desidera valutare lo stato di tutti i server CA User Activity Reporting Module contemporaneamente

36 Guida all'implementazione

Pianificazione di una federazione

Per gli avvisi in cui è importare eseguire la query di nuovi eventi da tutti i server di raccolta

A seguire, un esempio di mappa di federazione che permette di soddisfare questi obiettivi dei rapporti:

Per implementare la realizzazione di questa mappa di federazione, è necessario intraprendere le seguenti azioni:

■

Creare una federazione completamente a coppie tra i server di raccolta.

Ogni server di raccolta è sia padre che figlio per tutti gli altri server di raccolta.

■

Creare una federazione gerarchica da ciascun server di raccolta al server di gestione/rapporto in cui il server è il padre e il server di gestione/rapporto è il figlio.

Capitolo 2: Pianificazione dell'ambiente 37

Pianificazione di una federazione

Per raggiungere un determinato obiettivo, è importante eseguire il rapporto o l'avviso da un server rappresentato da una posizione particolare sulla mappa della federazione e specificare correttamente se la federazione è necessaria.

Ecco alcuni esempi:

■

Per generare un rapporto di sistema sugli eventi di automonitoraggio che si verificano su ogni server CA User Activity Reporting Module nella rete, eseguire il rapporto dal server di gestione/rapporto e specificare la condizione di federazione.

■

Per pianificare un rapporto relativo a eventi recenti (warm), eseguire il rapporto dal server d gestione/rapporto e annullare la richiesta per la condizione di federazione. Un rapporto di questo tipo comprende i dati archiviati di recente raccolti da tutti i server di raccolta. La federazione non

è necessaria.

■

Per pianificare un avviso che comprenda i nuovi eventi (hot) da ciascun server di raccolta e gli eventi archiviati (warm) sul server di gestione/rapporto, eseguire l'avviso da qualsiasi server di raccolta e specificare la condizione di federazione. È possibile limitare i risultati restituiti dai server di raccolta specificando come condizioni dei risultati l'intervallo predefinito, ovvero l'ultima ora trascorsa.

Ulteriori informazioni:

Configurazione di un server CA User Activity Reporting Module come server figlio

(a pagina 228)

Esempio: archiviazione automatica fra tre server

(a pagina 167)

38 Guida all'implementazione

Pianificazione degli utenti e degli accessi

Dopo avere installato il primo server CA User Activity Reporting Module e avere effettuato l'accesso ad esso come utente EiamAdmin, è possibile configurare l'archivio utente, un utente come amministratore e impostare i criteri delle password.

La pianificazione degli utenti e degli accessi è limitata a quanto segue:

■

Determinare se accettare l'archivio utente predefinito su questo server CA

User Activity Reporting Module o configurare un archivio utente esterno.

Se è necessaria una configurazione, registrare i valori richiesti sui fogli di calcolo forniti.

■

Identificare l'utente che agirà come primo amministratore. Solo un amministratore può configurare le impostazioni di CA User Activity

Reporting Module.

■

Definire criteri delle password con l'obiettivo di promuovere password sicure per gli utenti CA User Activity Reporting Module.

Nota: è possibile configurare criteri delle password solo quando si configura l'archivio utente come archivio utente su questo CA User Activity Reporting

Module.

Ulteriori informazioni:

Foglio di calcolo directory LDAP esterna

(a pagina 41)

Foglio di lavoro per CA SiteMinder

(a pagina 43)

Pianificazione archivio utente

Dopo avere installato il primo server CA User Activity Reporting Module, accedere a CA User Activity Reporting Module e configurare l'archivio utente.

L'archivio utente configurato è la posizione in cui vengono conservati nomi utente e password utilizzati per l'autenticazione e altri dettagli globali.

Con tutte le opzioni dell'archivio utente, i dettagli dell'utente dell'applicazione vengono archiviati nell'archivio utente CA User Activity Reporting Module.

Questo include informazioni come ruoli, preferiti dell'utente e ora dell'ultimo accesso.

Capitolo 2: Pianificazione dell'ambiente 39

Pianificazione degli utenti e degli accessi

Si deve considerare quanto segue durante la pianificazione dell'archivio utente da configurare:

■

Utilizzare l'archivio utente CA User Activity Reporting Module (predefinito)

Gli utenti vengono autenticati con i nomi utente e le password create in CA

User Activity Reporting Module. Configurare i criteri delle password. Gli utenti possono modificare le proprie password e sbloccare gli altri account utente.

■

Riferimento da CA SiteMinder

Nomi utente, password e gruppi globali vengono caricati da CA SiteMinder nell'archivio utente CA User Activity Reporting Module. Gli utenti vengono autenticati con i nomi utente e le password indicati. È possibile assegnare il gruppo globale a un criterio nuovo o a uno esistente. Non è possibile creare nuovi utenti, modificare password o configurare criteri delle password.

■

Riferimento dalla directory LDAP (Lightweight Directory Access Protocol)

I nomi utente e le password sono caricati dalla directory LDAP all'archivio utente CA User Activity Reporting Module. Gli utenti vengono autenticati con i nomi utente e le password indicati. Le informazioni dell'account utente caricato diventano account utente globali. È possibile assegnare agli utenti globali un ruolo utente corrispondente all'accesso che si desidera che essi abbiano in CA User Activity Reporting Module. Non è possibile creare nuovi utenti o configurare criteri delle password.

Importante: Si consiglia di eseguire il backup dei criteri di accesso predefiniti forniti con CA User Activity Reporting Module prima che voi o un amministratore iniziate a lavorare su di essi. Per ulteriori informazioni, vedere

Guida all'amministrazione di CA User Activity Reporting Module.

Ulteriori informazioni:

Accettare l'Archivio utente predefinito

(a pagina 134)

Riferimento a una directory LDAP

(a pagina 135)

Riferimento a CA SiteMinder come archivio utente

(a pagina 136)

40 Guida all'implementazione

Pianificazione degli utenti e degli accessi

Foglio di calcolo directory LDAP esterna

Informazioni necessarie

Prima di fare riferimento a una directory LDAP esterna, raccogliere le seguenti informazioni di configurazione:

Valore Commenti

Tipo

Host

Porta

DN di base

Password

Notare il tipo di directory in uso. CA User Activity

Reporting Module supporta molte directory diverse inclusa Microsoft Active Directory e Sun

ONE Directory.

Fare riferimento all'interfaccia utente per un elenco completo delle directory supportate.

Registrare il nome host del server per l'archivio utente o la directory esterna.

Registrare il numero di porta su cui l'archivio utente esterno o il server della directory è in ascolto. La porta 389 è la porta nota per LDAP

(Lightweight Directory Access Protocol). Se il server di registrazione non utilizza la porta 389, registrare il numero di porta corretto.

Specificare il nome distintivo (DN) LDAP utilizzato come base. Il DN è un identificativo univoco per una voce nella struttura di una directory LDAP.

Nel DN di base non sono consentiti spazi. Solo gli utenti e i gruppi globali rilevati al di sotto di questo DN vengono mappati e ad essi può essere assegnato un gruppo o ruolo di applicazione CA

User Activity Reporting Module.

Immettere e confermare la password per l'utente elencato nella riga DN utente.

Capitolo 2: Pianificazione dell'ambiente 41

Pianificazione degli utenti e degli accessi

Informazioni necessarie

DN utente

Valore

Utilizza Transport Layer Security

(TLS)

Includi attributi non mappati

Utenti globali cache

Orario di aggiornamento cache

Recupera gruppi di scambio come gruppi utenti globali

Commenti

Immettere credenziali utente valide per ogni utente valido all'interno del registro utente nel cui registro utente è possibile eseguire ricerche.

Immettere il nome distintivo (DN) completo dell'utente.

È possibile effettuare l'accesso con qualsiasi ID utente con ruolo di amministrazione. Il DN utente e la password associata costituiscono le credenziali utilizzate per il collegamento all'host della directory esterna.

Specifica se l'archivio utente deve utilizzare il framework TSL per proteggere le trasmissioni di testo in chiaro. Quando selezionato, TLS viene utilizzato nella creazione della connessione LDAP alla directory esterna.

Specifica se includere campi non sincronizzati dalla directory LDAP. Gli attributi esterni non mappati possono essere utilizzati per la ricerca e come filtri.

Specifica se conservare gli utenti globali in memoria per l'accesso rapido. La selezione permette ricerche più veloci al costo della scalabilità. Per un piccolo ambiente di prova, la selezione è consigliata.

Se si è scelto di conservare nella cache gli utenti globali, specificare la frequenza, in minuti, per l'aggiornamento dei gruppi e degli utenti conservati per includere registrazioni nuove e modificate.

Se il tipo di directory esterna è Microsoft Active

Directory, questa opzione specifica che si intende creare gruppi globali dalle informazioni del gruppo Microsoft Exchange. Se selezionata, è possibile scrivere criteri per i membri degli elenchi di distribuzione.

42 Guida all'implementazione

Pianificazione degli utenti e degli accessi

Foglio di lavoro per CA SiteMinder

Informazioni necessarie

Prima di fare riferimento a CA SiteMinder come archivio utente, raccogliere le seguenti informazioni sulla configurazione:

Valore Commenti

Host

Nome amministratore

Password amministratore

Nome agente

Segreto agente

Utenti globali cache

Orario di aggiornamento cache

Includi attributi non mappati

Recupera gruppi di scambio come gruppi utenti globali

Tipo archivio autorizzazione

Definisce nome host o indirizzo IP del sistema

CA SiteMinder di riferimento. È possibile utilizzare indirizzi IPv4 o IPv6 IP.

Il nome utente per il super utente CA

SiteMinder che svolge la manutenzione del sistema e degli oggetti del dominio.

La password per il nome utente associato.

Il nome dell'agente fornito al server dei criteri.

Il nome non distingue tra maiuscole e minuscole.

Il segreto condiviso che distingue tra maiuscole e minuscole definito in CA

SiteMinder. Il nome del segreto agente distingue tra maiuscole e minuscole.

Specifica se conservare nella cache gli utenti globali, permettendo ricerche più rapide al costo della scalabilità.

Nota: i gruppi utenti globali sono sempre posizionati nella cache.

L'intervallo in minuti dopo cui la cache utente viene aggiornata automaticamente.

Specifica se includere gli attributi esterni non mappati per l'utilizzo come filtri o nelle ricerche.

Se il tipo di directory esterna è Microsoft Active

Directory, questa opzione specifica che si intende creare gruppi globali dalle informazioni del gruppo Microsoft Exchange. Se selezionata,

è possibile scrivere criteri per i membri degli elenchi di distribuzione.

Definisce il tipo di archivio utente utilizzato.

Capitolo 2: Pianificazione dell'ambiente 43

Pianificazione degli utenti e degli accessi

Informazioni necessarie

Nome archivio autorizzazione

Valore Commenti

Specifica il nome assegnato dell'archivio utente a cui si fa riferimento nel campo Tipo archivio di autorizzazione.

Utenti con ruolo di amministratore

Solo gli utenti a cui è stato assegnato il ruolo di amministratore possono configurare i componenti CA User Activity Reporting Module.

Dopo l'installazione del primo CA User Activity Reporting Module, si accede a CA

User Activity Reporting Module attraverso un browser, si accede con le credenziali EiamAdmin e si configura l'archivio utente.

Il passaggio successivo è l'assegnazione del gruppo applicazione amministratore all'account dell'utente che deve eseguire la configurazione. Se l'archivio utente

è stato configurato come archivio utente CA User Activity Reporting Module, quello predefinito, si crea un account utente e si assegna ad esso il ruolo di amministratore. Se si fa riferimento a un archivio utente esterno, non è possibile creare un nuovo utente. In questo caso, si cerca il record utente della persona che deve svolgere il ruolo di amministratore e si aggiunge il gruppo applicazione amministratore a questo account utente.

Pianificazione dei criteri delle password

Se si accetta l'archivio utente predefinito, si definiscono nuovi utenti e si impostano nuovi criteri delle password per questi account utente dall'interno di

CA User Activity Reporting Module. L'utilizzo di password complesse aiuta a proteggere le risorse di calcolo. I criteri delle password aiutano nella creazione di password complesse e possono contribuire a impedire l'utilizzo di password deboli.

I criteri delle password predefiniti forniti con CA User Activity Reporting Module offrono una forma molto leggera di protezione password. Ad esempio, i criteri predefiniti aiutano gli utenti a utilizzare il proprio nome utente come password e permettono loro di sbloccare le password. Questo consente alle password di non scadere mai e non esegue un blocco in base ai tentativi di accesso falliti. Le opzioni predefinite sono impostate intenzionalmente ad un livello molto basso di sicurezza password per consentire la creazione dei propri criteri delle password personalizzati.

44 Guida all'implementazione

Pianificazione degli utenti e degli accessi

Importante: È necessario modificare i criteri delle password predefiniti per soddisfare le restrizioni delle password in uso presso l'azienda. È sconsigliato eseguire CA User Activity Reporting Module in ambienti di produzione con i criteri delle password predefiniti!

È possibile non permette queste attività, applicare criteri agli attributi delle password come lunghezza, tipo di carattere, età e riutilizzo e stabilire criteri di blocco in base ad un numero configurabile di tentativi di accesso falliti come parte dei criteri delle password personalizzati.

Ulteriori informazioni:

Configurazione dei criteri delle password

(a pagina 138)

Nome utente e una password

Affinché le password siano sicure, le migliori prassi di sicurezza suggeriscano di creare password che non contengano o corrispondano al nome utente. Il criterio delle password predefinito abilita questa opzione. Mentre questa opzione sembra utile quando si imposta la password temporanea per i nuovi utenti, è buona prassi cancellare questo criterio di selezione della password.

Cancellando questa opzione si impedisce agli utenti di utilizzare questo tipo di password deboli.

Età e riutilizzo delle password

Considerare le seguenti linee guida quando si stabiliscono i criteri di età e riutilizzo:

■

I criteri di riutilizzo delle password possono garantire che una determinata password non venga riutilizzata spesso. Questo criterio crea una cronologia delle password. L'impostazione 0 indica che la cronologia delle password non è applicata. Un'impostazione superiore a 0 specifica il numero di password salvate e utilizzate per il confronto quando viene modificata la password. Un criterio delle password sicuro deve impedire agli utenti di riutilizzare una password per almeno un anno.

Capitolo 2: Pianificazione dell'ambiente 45

Pianificazione degli utenti e degli accessi

■

L'età massima consigliata per una password varia a seconda della lunghezza e della complessità della password. Una regola generale è che una password accettabile è una che non può essere scoperta con attacco di forza bruta in un tempo inferiore all'età massima consentita alla password. Un buono standard di età è da 30 a 60 giorni.

L'impostazione di un'età minima impedisce agli utenti di ripristinare le password molte volte in una singola sessione per aggirare un criterio di riutilizzo della password. Una buona prassi comune consigliata è 3 giorni.

Se si imposta l'età di una password, si consiglia di avvertire gli utenti di ripristinare le proprie password. È possibile impostare l'avvertimento in modo che si verifichi nel momento centrale dell'età o vicino alla scadenza.

È necessario bloccare gli account utente dopo un numero ragionevole di accessi non riusciti. Ciò può aiutare a impedire agli hacker di indovinare la password. Da tre a cinque tentativi è il numero massimo standard dopo cui l'account viene chiuso.

Lunghezza e formato della password

Considerare le seguenti linee guida quando si stabilisce se applicare i requisiti della lunghezza:

■

A causa del modo in cui le password sono crittografate, le password più sicure sono lunghe sette o 14 caratteri.

■

Fare attenzione a non superare i limiti di lunghezza della password imposti da vecchi sistemi operativi nella rete.

Considerare le seguenti linee guida quando si stabilisce se applicare criteri sui caratteri massimi ripetuti o sul numero minimo o sui caratteri numerici.

■

Le password sicure non si trovano in nessun dizionario.

■

Le password sicure includono uno o più caratteri da almeno tre dei quattro set di lettere minuscole, lettere maiuscole, cifre e caratteri speciali.

46 Guida all'implementazione

Pianificazione aggiornamento sottoscrizioni

La presente sezione contiene informazioni e procedure riguardanti la pianificazione degli aggiornamenti di sottoscrizione per l'ambiente CA User

Activity Reporting Module.

Ulteriori informazioni:

Servizio di sottoscrizione

(a pagina 48)

Funzionamento della sottoscrizione

(a pagina 49)

Pianificazione degli aggiornamenti di sottoscrizione

Architettura di sottoscrizione

(a pagina 52)

Architettura di sottoscrizione non in linea

(a pagina 55)

Capitolo 2: Pianificazione dell'ambiente 47

Pianificazione aggiornamento sottoscrizioni

Servizio di sottoscrizione

L'ambiente può utilizzare un server per eseguire tutte le attività oppure può disporre di più server, ciascuno dei quali dedicato all'esecuzione di uno o più ruoli specifici, quali la raccolta, la correlazione e la creazione di rapporti. Il servizio di sottoscrizione viene utilizzato per mantenere i server aggiornati con i contenuti, il sistema operativo e gli aggiornamenti del prodotto più recenti.

Il servizio di sottoscrizione utilizza un sistema proxy-client per la distribuzione degli aggiornamenti. CA Technologies pubblica gli aggiornamenti, in pacchetti di

moduli, nel server di sottoscrizione CA Technologies. Uno o più server dell'ambiente fungono da proxy di sottoscrizione. Tali proxy contattano il server di sottoscrizione CA Technologies attraverso la connessione Internet, eseguono il download dei moduli di aggiornamento e li installano in modo automatico.

Tutti gli altri server presenti nell'ambiente corrispondono a client di sottoscrizione ed eseguono il download degli aggiornamenti dal proxy corrispondente.

In alcuni ambienti, i criteri di protezione o altri elementi limitano l'accesso di rete a Internet. In tal caso, l'aggiornamento dell'ambiente CA User Activity

Reporting Module viene eseguito mediante la sottoscrizione non in linea. Le sottoscrizioni non in linea richiedono il download degli aggiornamenti dal sito

FTP di sottoscrizione non in linea di CA Technologies. Gli aggiornamenti vengono quindi copiati manualmente sul proxy CA User Activity Reporting Module che non dispone dell'accesso a Internet, denominato proxy non in linea. Gli aggiornamenti vengono eseguiti secondo la modalità standard secondo la quale i client di sottoscrizione scaricano ed installano gli aggiornamenti dal proxy non in linea corrispondente.

Nota:per impostazione predefinita, il servizio di sottoscrizione non è configurato per l'esecuzione di aggiornamenti automatici. Per utilizzare il servizio di sottoscrizione, è necessario configurare le impostazioni, ad esempio scegliere i moduli e impostare una pianificazione di aggiornamento.

48 Guida all'implementazione

Pianificazione aggiornamento sottoscrizioni

Funzionamento della sottoscrizione

La sottoscrizione include i seguenti elementi:

■

Server di sottoscrizione CA Technologies

■

Server proxy HTTP (facoltativo)

■

Uno o più server proxy di sottoscrizione CA User Activity Reporting Module

■

Server di gestione CA User Activity Reporting Module

■

Uno o più client di sottoscrizione CA User Activity Reporting Module

È possibile configurare gli aggiornamenti di sottoscrizione per l'esecuzione automatica, in base alla pianificazione di sottoscrizione impostata. È inoltre possibile eseguire aggiornamenti di sottoscrizione su richiesta, mediante l'avvio manuale del processo di aggiornamento.

Il diagramma riportato di seguito fornisce una descrizione dettagliata del processo del servizio di sottoscrizione.

Capitolo 2: Pianificazione dell'ambiente 49

Pianificazione aggiornamento sottoscrizioni

1. Il server proxy di sottoscrizione contatta il server di sottoscrizione CA

Technologies. È possibile configurare i server proxy affinché contattino il server di sottoscrizione direttamente oppure tramite il proxy HTTP locale. I proxy contattano il server di sottoscrizione CA Technologies automaticamente, in base alla pianificazione impostata, oppure su richiesta, con l'avvio manuale dell'aggiornamento. Il server proxy scarica ed installa automaticamente gli aggiornamenti del sistema operativo e del prodotto.

Se si utilizza una sottoscrizione non in linea, eseguire il download manuale dei file di aggiornamento su un sistema separato dall'ambiente CA User

Activity Reporting Module e copiare i file nel server proxy non in linea.

2. Il server proxy di sottoscrizione invia gli aggiornamenti dei contenuti e di integrazione al server di gestione. Il server di gestione è, per impostazione predefinita, il primo server CA User Activity Reporting Module installato e viene utilizzato per l'archiviazione di tutte le informazioni del contenuto, quali rapporti, integrazioni e regole di correlazione per l'ambiente in uso.

3. I client di sottoscrizione contattano il proxy di sottoscrizione per ottenere gli aggiornamenti, automaticamente oppure su richiesta. I client eseguono il download e l'installazione automatica degli aggiornamenti.

Nota: i proxy di sottoscrizione eseguono l'installazione degli aggiornamenti scaricati prima di renderli disponibili per i client.

50 Guida all'implementazione

Pianificazione aggiornamento sottoscrizioni

Pianificazione degli aggiornamenti di sottoscrizione

La pianificazione dell'architettura degli aggiornamenti di sottoscrizione per l'ambiente CA User Activity Reporting Module in uso consente di garantire che tutti i server ricevano gli aggiornamenti selezionati, nei tempi desiderati e in modo protetto.

Per pianificare gli aggiornamenti di sottoscrizione per l'ambiente CA User

Activity Reporting Module attenersi alla procedura riportata di seguito. Per ulteriori informazioni, consultare le procedure corrispondenti.

1. In primo luogo, definire un struttura proxy-client per i server CA User

Activity Reporting Module. Stabilire quali server si desidera definire come proxy e come client, considerando il ruolo di ciascun server, e il traffico di rete.

2. Considerare le eventuali limitazioni di accesso a Internet presenti nell'ambiente e stabilire se sono necessari uno o più proxy non in linea.

3. Considerare gli eventuali problemi associati alla protezione e al traffico e stabilire se includere un proxy HTTP locale nell'architettura di sottoscrizione. I proxy di sottoscrizione in linea possono contattare il server di sottoscrizione CA Technologies direttamente oppure utilizzare il server proxy HTTP locale.

4. Stabilire se si desidera scaricare tutti gli aggiornamenti automaticamente, in base alla pianificazione di sottoscrizione impostata, oppure se si preferisce definire alcuni tipi di aggiornamento per il download manuale. Ad esempio, i criteri di protezione interni potrebbero richiedere il test di alcuni aggiornamenti prima di poterli applicare all'ambiente.

Capitolo 2: Pianificazione dell'ambiente 51

Pianificazione aggiornamento sottoscrizioni

5. Considerare la frequenza di aggiornamento dell'ambiente CA User Activity

Reporting Module desiderata. Gli aggiornamenti sono resi disponibili regolarmente, la frequenza dipende dal tipo di aggiornamento. Per ulteriori informazioni sui tipi di aggiornamento, consultare il paragrafo Informazioni sui moduli da scaricare nella sezione Ulteriori informazioni.

Nota: Prima di eseguire gli aggiornamenti di sottoscrizione, verificare che lo spazio disponibile su disco sia sufficiente per il download su ciascun server

CA User Activity Reporting Module. Se lo spazio disponibile su disco su un server è inferiore a 5 GB, il servizio di sottoscrizione emette un evento di monitoraggio automatico e sospende il processo di download.

Ulteriori informazioni:

Architettura di sottoscrizione

(a pagina 52)

Architettura di sottoscrizione non in linea

(a pagina 55)

Informazioni sui moduli da scaricare

(a pagina 195)

Architettura di sottoscrizione

L'ambiente CA User Activity Reporting Module in uso può corrispondere a un sistema a server unico o includere due o più server. Definire l'architettura di sottoscrizione in base al numero e ai ruoli dei server CA User Activity Reporting

Module presenti nell'ambiente. Le architetture di sottoscrizione possibili includono:

■

Ambiente a server unico

■

Ambiente a più server con un proxy di sottoscrizione

■

Ambiente a più server con più proxy di sottoscrizione

Nota:durante la definizione dell'architettura di sottoscrizione stabilire se sono necessari uno o più proxy non in linea. Per ulteriori dettagli, consultare il paragrafo Architettura di sottoscrizione non in linea nella sezione Ulteriori informazioni.

52 Guida all'implementazione

Pianificazione aggiornamento sottoscrizioni

Il primo server CA User Activity Reporting Module installato viene configurato come proxy di sottoscrizione predefinito ed esegue il download e l'installazione degli aggiornamenti di sottoscrizione nel caso in cui nessun altro proxy sia configurato o disponibile. Per impostazione predefinita, i server CA User Activity

Reporting Module sono configurati come client di sottoscrizione. È possibile modificare la configurazione di qualsiasi server CA User Activity Reporting

Module per convertirlo in proxy di sottoscrizione in linea o non in linea oppure in client di sottoscrizione. Inoltre, è possibile impostare qualsiasi proxy di sottoscrizione in linea dell'ambiente come il proxy di sottoscrizione predefinito.

Il server del contenuto fornisce gli aggiornamenti di contenuto e di integrazione al server di gestione, il quale archivia e recupera il contenuto dell'applicazione per l'ambiente in uso. Tale server può corrispondere al proxy di sottoscrizione predefinito oppure è possibile configurare qualsiasi proxy di sottoscrizione in linea dell'ambiente come server del contenuto.

In un ambiente a server unico, solo il server CA User Activity Reporting Module viene configurato come proxy di sottoscrizione. Il server esegue il download e l'installazione automatica degli aggiornamenti CA User Activity Reporting

Module attraverso il servizio di sottoscrizione. Il server funge inoltre come server del contenuto per l'ambiente.

In un ambiente di piccole dimensioni con due o più server, è possibile configurare un server sia come proxy di sottoscrizione e server del contenuto, e tutti gli altri server come client di sottoscrizione. È possibile impostare il proxy di sottoscrizione predefinito per l'utilizzo come proxy di sottoscrizione dell'ambiente, oppure è possibile selezionare qualsiasi altro server CA User

Activity Reporting Module come proxy. Il proxy di sottoscrizione esegue il download e l'installazione automatica degli aggiornamenti CA User Activity

Reporting Module e i client di sottoscrizione contattano il proxy per il download degli aggiornamenti È possibile configurare i client per il download degli stessi aggiornamenti scaricati dal proxy o un sottoinsieme di tale gruppo.

Capitolo 2: Pianificazione dell'ambiente 53

Pianificazione aggiornamento sottoscrizioni

In un ambiente di grandi dimensioni con più server, è possibile configurare più server come proxy di sottoscrizione, ciascuno dei quali fornisce gli aggiornamenti per un gruppo limitato di client di sottoscrizione. In tal modo, si ottiene un funzionamento efficace del servizio di sottoscrizione equilibrando il traffico verso i proxy di sottoscrizione.

Se si dispone di più proxy, è inoltre possibile configurare elenchi di proxy di sottoscrizione. Gli elenchi proxy consentono di verificare che tutti i server CA

User Activity Reporting Module ricevano correttamente gli aggiornamenti nei tempi previsti. Se un proxy specificato non è disponibile al momento della richiesta di aggiornamenti CA User Activity Reporting Module da parte di un client, il client contatta ciascun proxy incluso nell'elenco fino al completamento del download degli aggiornamenti. È possibile configurare un elenco proxy globale per gli aggiornamenti client e di contenuto per tutto l'ambiente CA User

Activity Reporting Module. Inoltre è possibile configurare un elenco proxy personalizzato per gli aggiornamenti client da ciascun server CA User Activity

Reporting Module.

Ulteriori informazioni

Pianificazione degli aggiornamenti di sottoscrizione

Architettura di sottoscrizione non in linea

(a pagina 55)

54 Guida all'implementazione

Pianificazione aggiornamento sottoscrizioni

Architettura di sottoscrizione non in linea

Se i criteri di protezione o altri elementi limitano l'accesso di rete a Internet, è possibile aggiornare l'ambiente CA User Activity Reporting Module mediante la sottoscrizione non in linea. La sottoscrizione non in linea consente di escludere alcuni o tutti i server da Internet mantenendo l'ambiente CA User Activity

Reporting Module aggiornato. La configurazione della sottoscrizione non in linea

è richiesta nelle seguenti condizioni:

■

Nessun server dell'ambiente CA User Activity Reporting Module dispone dell'accesso a Internet.

■

Alcuni server della rete dispongono dell'accesso a Internet, mentre altri server non dispongono neppure della connessione a un server con accesso a

Internet.

L'unica differenza tra sottoscrizione in linea e non in linea consiste nella modalità di distribuzione dei file di aggiornamento al proxy di sottoscrizione.

Nella sottoscrizione in linea, il proxy contatta il server di sottoscrizione CA

Technologies attraverso Internet. Nella sottoscrizione non in linea, gli aggiornamenti vengono scaricati dal sito FTP di CA Technologies e copiati manualmente sul server CA User Activity Reporting Module configurato come proxy non in linea.

Il diagramma riportato di seguito descrive il processo di sottoscrizione non in linea. In questo esempio l'ambiente CA User Activity Reporting Module è di tipo non in linea.

Capitolo 2: Pianificazione dell'ambiente 55

Pianificazione aggiornamento sottoscrizioni

56 Guida all'implementazione

Pianificazione aggiornamento sottoscrizioni

1. L'amministratore di sistema scarica gli aggiornamenti da un sito FTP di CA

Technologies su un sistema con accesso a Internet o FTP.

2. L'amministratore di sistema copia manualmente i file aggiornati su un proxy

CA User Activity Reporting Module non in linea. I file possono essere trasferiti utilizzando un supporto fisico, ad esempio un disco, oppure tramite SCP, incluso in CA User Activity Reporting Module.

3. La procedura di aggiornamento viene eseguita secondo la stessa modalità della sottoscrizione in linea. Il proxy non in linea installa automaticamente gli aggiornamenti e invia gli aggiornamenti dei contenuti al server di gestione.

Nota:sebbene il proxy non in linea possa eseguire l'aggiornamento automatico in base alla pianificazione, in caso di trasferimento di file nuovi si consiglia di eseguire l'aggiornamento manuale. Questa procedura consente garantire la disponibilità degli aggiornamenti in caso di richiesta da parte dei client di sottoscrizione.

4. I client del proxy non in linea eseguono il download degli aggiornamenti in base alla pianificazione impostata oppure in caso di aggiornamento manuale.

Nota: i client di sottoscrizione non in linea ricevono sempre gli aggiornamenti installati manualmente sul server proxy non in linea. I moduli selezionati a livello locale per un client non in linea non vengono considerati.

L'architettura di sottoscrizione può essere di tipo misto. Ad esempio, è possibile definire un solo proxy non in linea e più proxy in linea. Il proxy non in linea e i relativi client associati vengono esclusi dalla connessione Internet, mentre il resto degli ambienti CA User Activity Reporting Module riceve gli aggiornamenti tramite la sottoscrizione in linea. L'architettura di tipo misto presenta un elevato grado di complessità, pertanto se ne sconsiglia l'uso. Prima di implementare questo tipo di architettura, si consiglia di esaminare e pianificare la strategia di sottoscrizione globale.

Importante: In un ambiente di sottoscrizione misto, non includere i proxy non in linea nell'elenco dei proxy per i client di sottoscrizione in linea. In caso contrario, il client di sottoscrizione in linea riceverà automaticamente tutti gli aggiornamenti installati manualmente, anziché i moduli selezionati a livello globale per l'ambiente CA User Activity Reporting Module oppure a livello locale per il client.

Capitolo 2: Pianificazione dell'ambiente 57

Pianificazione aggiornamento sottoscrizioni

Ulteriori informazioni

Pianificazione degli aggiornamenti di sottoscrizione

Architettura di sottoscrizione

(a pagina 52)

Esempio: configurazione della sottoscrizione con sei server

Quando si procede alla configurazione della sottoscrizione, considerare gli altri ruoli svolti dai server prima di decidere il loro ruolo di sottoscrizione. Per impostazione predefinita il server di gestione, il primo server che si installa, è il proxy di sottoscrizione predefinito. Tutti gli altri server sono client di sottoscrizione del proxy di sottoscrizione predefinito. Anche se questo è accettabile, è preferibile configurare un proxy di sottoscrizione in linea e fare operare il proxy predefinito come proxy failover o ridondante. È buona prassi assegnare il ruolo di proxy in linea al server meno attivo.

Esempio: sei server di cui il server meno occupato è il proxy di sottoscrizione in linea

Considerare uno scenario di sei server CA Enterprise Log Manager. Il server di gestione è dedicato all'autenticazione e all'autorizzazione degli utenti all'accesso e all'archiviazione del contenuto delle applicazioni. Quattro server federati gestiscono l'elaborazione e i rapporti di eventi. Un sesto server costituisce un punto di ripristino dedicato per l'analisi degli eventi dai database ripristinati. Uno dei vantaggi di un punto di ripristino dedicato è che è possibile impedire l'inclusione dei dati vecchi nei rapporti correnti non includendo questo server nella federazione.

In questo esempio, i due server di raccolta e rapporto rappresentano una configurazione con requisiti di elaborazione particolarmente elevati. Questi server sono federati in una configurazione gerarchica, in cui il server di raccolta

è figlio del server di notifica. I due server che agiscono come server di raccolta e rapporto rappresentano una configurazione con volumi di eventi normali e rapporti pianificati. Sono federati tra loro e il server dei rapporti dedicato in una federazione a coppie, ossia i tre server sono peer. Lo scopo della federazione di server è estendere la possibilità di ricevere risultati delle query dai server federati. Una query federata da ognuno di questi server a coppie restituisce eventi da se stessa e dagli altri tre server della federazione.

Nota: per eseguire rapporti consolidati su eventi di automonitoraggio, includere il server di gestione nella federazione.

58 Guida all'implementazione

Pianificazione aggiornamento sottoscrizioni

In questo scenario, si consiglia di configurare il punto di ripristino come proxy di sottoscrizione in linea, poiché si tratta del server meno attivo. Quindi configurare ogni client per puntare a questo proxy in linea, in modo che il proxy predefinito possa agire come backup, nel caso il proxy in linea dovesse essere occupato o non disponibile.

Ulteriori informazioni:

Configurazione di una federazione CA User Activity Reporting Module

228)

Capitolo 2: Pianificazione dell'ambiente 59

Pianificazione agente

Gli agenti usano connettori per raccogliere gli eventi e trasportarli al server CA

User Activity Reporting Module. È possibile configurare un connettore sull'agente predefinito installato con il server CA User Activity Reporting Module oppure è possibile installare un agente su un server o una fonte di eventi nella rete. La decisione di utilizzare agenti esterni si basa sul volume di eventi, sulla posizione dell'agente, sulle esigenze di filtraggio di eventi e su altre considerazioni. La pianificazione dell'installazione di un agente implica quanto segue:

■

Comprensione delle relazioni tra i seguenti componenti:

■

Integrazioni e listener

Agenti

■

■ Connettori

Dimensionamento della rete per decidere quanti agenti installare

È necessario installare gli agenti relativamente vicino alle fonti degli eventi da cui si desidera raccogliere i registri eventi. La maggior parte dei connettori raccoglie eventi da una e un'unica fonte di eventi. Per gli eventi syslog, un unico listener syslog può ricevere eventi da diversi tipi di fonti di eventi. Un agente può controllare e gestire il traffico degli eventi per più di un connettore.

Informazioni sulla raccolta di eventi syslog

CA User Activity Reporting Module può ricevere eventi direttamente da fonti syslog. La raccolta di syslog si differenzia dagli altri metodi di raccolta perché molte fonti di registri diverse possono inviare eventi a CA User Activity

Reporting Module contemporaneamente. Considerare un router di rete e un concentratore VPN come due possibili fonti di eventi. Entrambi possono inviare eventi direttamente a CA User Activity Reporting Module utilizzando syslog, ma i formati del registro e le strutture sono diversi. Un agente syslog può ricevere entrambi i tipi di eventi allo stesso tempo utilizzando il listener syslog fornito.

In linea di massima, la raccolta di eventi rientra in due categorie:

■

CA User Activity Reporting Module è in ascolto per gli eventi syslog su porte configurabili.

■

CA User Activity Reporting Module esegue il monitoraggio di altre fonti di eventi per i loro eventi, ad esempio, utilizzando WMI per raccogliere eventi di Windows.

60 Guida all'implementazione

Pianificazione agente

Più di una fonte di eventi syslog può trasmettere eventi attraversi un unico connettore, poiché il listener riceve tutto il traffico su una porta specifica. CA

User Activity Reporting Module può essere in ascolto per eventi syslog su ogni porta (se si sta eseguendo un agente come utente non principale possono essere presenti limitazioni sull'utilizzo delle porte inferiori alla porta 1024). Le porte standard possono ricevere un flusso di eventi composto da molti tipi diversi di eventi syslog. Essi possono includere UNIX, Linux, Snort, Solaris,

CiscoPIX, Check Point Firewall 1 e altri. CA User Activity Reporting Module gestisce gli eventi syslog utilizzando listener che costituiscono un tipo specializzato di componente di integrazione. Si realizzano connettori syslog in base ai listener e alle integrazioni:

■

Il listener fornisce informazioni sulla connessione come porte oppure host sicuri.

■

L'integrazione definisce i file di analisi dei messaggi (XMP) e di mapping dei dati (DM).

Poiché un unico connettore syslog può ricevere eventi da molte fonti di eventi, si deve considerare se instradare gli eventi syslog in base al loro tipo o fonte. La dimensione e la complessità dell'ambiente determina come bilanciare la ricezione degli eventi syslog:

Molti tipi syslog: 1 connettore

Se un unico connettore deve elaborare eventi da diverse fonti syslog e il volume di eventi è elevato, il connettore deve analizzare tutte le integrazioni applicate (file XMP) fino a quando rileva una corrispondenza per un evento. Questo può provocare un rallentamento delle prestazioni poiché la quantità di dati da elaborare è molto più elevata. Tuttavia, se il volume di eventi non è troppo elevato, un unico connettore sull'agente predefinito potrebbe essere sufficiente per raccogliere tutti gli eventi richiesti per l'archiviazione.

Capitolo 2: Pianificazione dell'ambiente 61

Pianificazione agente

1 tipo syslog: 1 connettore

Se si configura una serie di connettori singoli per elaborare eventi da un unico tipo syslog, è possibile snellire il carico di elaborazione distribuendolo su diversi connettori. Tuttavia, anche avere troppi connettori in esecuzione su un unico agente può ridurre le prestazioni, poiché ognuno corrisponde a un'istanza separata che richiede un'elaborazione individuale.

Alcuni tipi syslog: 1 connettore

Se l'ambiente ha un volume di eventi più consistente per alcuni tipi di eventi syslog, è possibile configurare un connettore per raccogliere solo tale tipo.

Quindi è possibile configurare uno o più connettori diversi per raccogliere più di un tipo di eventi syslog con un volume di eventi inferiore nell'ambiente. In questo modo, è possibile bilanciare il carico della raccolta degli eventi syslog su un numero inferiore di connettori garantendo prestazioni migliori.

Non si devono necessariamente creare listener syslog personalizzati, anche se è possibile farlo se necessario. È possibile creare listener syslog personalizzati con valori predefiniti per porte, host sicuri e altro ancora. Ciò può aiutare a semplificare la creazione di connettori se si dispone di molti connettori da creare per ogni tipo di evento syslog, ad esempio.

Ulteriori informazioni:

Account utente predefinito

(a pagina 103)

Reindirizzamento delle porte del firewall per gli eventi syslog

(a pagina 110)

Agenti e certificati degli agenti

Il certificato CAELM_AgentCert.cer viene utilizzato da tutti gli agenti per comunicare con il server CA User Activity Reporting Module.

Se si sceglie di sostituire il certificato con un certificato personalizzato, è consigliabile eseguire l'operazione prima di installare gli agenti. Se si implementa un certificato personalizzato dopo l'installazione e la registrazione degli agenti con un server CA User Activity Reporting Module, è necessario disinstallare ciascun agente, eliminare la voce dell'agente in Gestione agenti, reinstallare l'agente e riconfigurare i connettori.

62 Guida all'implementazione

Pianificazione agente

Informazioni sugli agenti

Gli agenti vengono eseguiti come servizio o daemon dopo l'installazione e sono componenti opzionali del prodotto, utilizzati in una o più delle seguenti situazioni:

■

Un piccolo sito remoto richiede la raccolta di dati degli eventi, ma non richiede un dispositivo software CA User Activity Reporting Module completo.

■

È necessario filtrare i dati alla fonte dell'evento per ridurre il traffico di rete o la quantità di dati archiviati.

■

È necessario garantire la consegna degli eventi all'archivio registro eventi per la conformità.

È necessaria una trasmissione dei registri sicura all'interno della rete con crittografia dei dati.

Gli agenti operano come gestori dei processi per i connettori che raccolgono dati degli eventi da applicazioni specifiche, sistemi operativi o database. Gli agenti forniscono comandi di gestione dei connettori come avvio, interruzione e riavvio dall'interfaccia dell'Explorer agente in CA User Activity Reporting

Module. Gli agenti applicano anche modifiche alla configurazione dei connettori e aggiornamenti dei file binari.

È possibile installare agenti su singole fonti di eventi oppure è possibile installare agenti su server di host remoti per raccogliere gli eventi da più di una fonte di eventi. L'installazione del server CA User Activity Reporting Module installa automaticamente il proprio agente. È possibile utilizzare questo agente predefinito per la raccolta diretta degli eventi syslog.

È possibile inoltre visualizzare lo stato di ogni agente dall'Explorer agente in ogni server CA User Activity Reporting Module nella rete. Gli agenti hanno un servizio di controllo che riavvia un agente nel caso si blocchi in modo imprevisto e che esegue il monitoraggio degli aggiornamenti dei file binari di agenti e connettori.

Gli agenti inviano anche eventi di automonitoraggio all'archivio registro eventi per il tracciamento delle modifiche e dello stato.

Informazioni sui gruppi di agenti

È possibile anche creare gruppi di agenti, che sono raggruppamenti logici di agenti che facilitano la loro gestione. Dopo avere reso un agente parte di un gruppo di agenti, è possibile modificare configurazioni e avviare e interrompere tutti i connettori in un gruppo allo stesso momento. Ad esempio, si potrebbe decidere di raggruppare gli agenti in base alla regione fisica e geografica.

Capitolo 2: Pianificazione dell'ambiente 63

Pianificazione agente

È possibile creare gruppi e spostare gli agenti tra i gruppi nell'Explorer agente.

Se non si definisce un gruppo di agenti, tutti gli agenti risiederanno nel gruppo predefinito creato durante l'installazione di CA User Activity Reporting Module.

Le configurazioni degli agenti e i registri dei gruppi di agenti vengono archiviati nel server di gestione. Ogni volta che si installa un agente, il server di gestione rende disponibile il nuovo agente nell'Explorer agente per ogni server CA User

Activity Reporting Module che ha registrato con lo stesso nome di istanza dell'applicazione. Ciò permette di configurare e controllare qualsiasi agente da ogni server CA User Activity Reporting Module all'interno della rete.

Privilegi dell'account utente dell'agente

Gli agenti possono essere eseguiti con account utente a basso privilegio. È necessario creare un gruppo e un account utente di servizio nell'host di destinazione prima di installare un agente. Si dovrà specificare il nome utente durante l'installazione dell'agente e il programma di installazione imposterà correttamente le autorizzazioni. Su sistemi Linux, l'utente dell'agente possiede tutti i file binari dell'agente, eccetto i file binari del controllo di proprietà dell'utente principale.

Informazioni sulle integrazioni

Il set di integrazioni pronte all'uso consiste essenzialmente in una libreria di modelli. Questi modelli forniscono il codice specifico per la raccolta di eventi da un tipo particolare di fonte di registri. Un'integrazione diventa un connettore quando viene presa dalla libreria, configurata e applicata alla fonte dell'evento.

Le integrazioni contengono i seguenti tipi di informazioni:

■

File di accesso ai dati con informazioni per un tipo particolare di fonte degli eventi

■

File di analisi dei messaggi che creano coppie nome-valore dai registri eventi raccolti

File di mapping dei dati che mappano le coppie nome-valore analizzate nella grammatica evento comune che forma lo schema del database per l'archivio registro eventi del server CA User Activity Reporting Module

64 Guida all'implementazione

Pianificazione agente

CA User Activity Reporting Module fornisce una serie di integrazioni per fonti di eventi note e comuni inclusi prodotti CA Technologies, firewall noti, database, sistemi operativi, applicazioni e altro ancora. È possibile ricevere le integrazioni aggiuntive nei seguenti modi:

■

Aggiornamenti delle sottoscrizioni che includono nuove integrazioni o nuove versioni di quelle esistenti

■

Creazione di integrazioni personalizzate utilizzando la procedura guidata fornita

Si utilizzano le integrazioni per specificare il tipo di raccolta eventi che si vuole eseguire quando si configurano i connettori.

Informazioni sui connettori

I connettori ascoltano gli eventi e periodicamente inviano eventi dello stato all'agente per il trasporto al server CA User Activity Reporting Module. Un

connettore corrisponde a un processo che utilizza un sensore log e un'integrazione per creare una configurazione per la raccolta degli eventi provenienti da un'origine eventi determinata. Diversamente da syslog, un connettore utilizza un'integrazione come modello della propria configurazione. I connettori syslog si basano sui listener.

Gli agenti utilizzano connettori per raccogliere gli eventi. Dopo aver installato l'agente, è possibile utilizzare Gestione agenti su qualsiasi server CA User

Activity Reporting Module per configurare uno o più connettori sull'agente. (La registrazione dei server CA User Activity Reporting Module deve essere realizzata su un solo server di gestione (o un server CA EEM esterno) con un unico nome di istanza applicazione per eseguire la configurazione degli agenti secondo questa modalità).

Nota: sebbene sia possibile configurare fino a un massimo di 256 connettori su un agente determinato, un numero elevato di connettori comporta la riduzione delle prestazioni. Per ottenere un livello di prestazioni ottimale, è consigliabile configurare un massimo di 70 connettori per agente.

Capitolo 2: Pianificazione dell'ambiente 65

Pianificazione agente

Generalmente esiste un connettore per ogni fonte di evento nella rete. Per gli eventi syslog, può essere presente più di un connettore per molte fonti di eventi, a seconda delle scelte della configurazione. È possibile creare diversi connettori che utilizzano la stessa integrazione, ma che hanno dettagli di configurazione leggermente diversi per accedere alle diverse fonti degli eventi.

Alcuni connettori offrono assistenti della configurazione che raccolgono le informazioni necessarie per l'accesso alla fonte dell'evento. Se è necessario un connettore per cui al momento non è fornita un'integrazione, è possibile crearla utilizzando l'integrazione guidata.

Informazioni sui sensori di registro

Un sensore di registro è il componente di un connettore che comprende come accedere alle fonti degli eventi. CA User Activity Reporting Module fornisce sensori di registro per i seguenti tipi diversi di fonti di evento e formati di registro:

ACLogsensor

Questo sensore di registro legge gli eventi CA Access Control quando CA

Access Control utilizza selogrd per il routing di eventi.

FileLogSensor

Questo sensore di registro legge gli eventi da un file.

LocalSyslog

Questo sensore di registro raccoglie gli eventi dai file syslog locali di qualsiasi server UNIX.

ODBCLogSensor

Questo sensore di registro utilizza ODBC per connettersi a una fonte di eventi di database e recuperare gli eventi da esso.

OPSECLogSensor

Questo sensore di registro legge gli eventi da una fonte di eventi Check

Point OPSEC.

SDEELogSensor

Questo sensore di registro legge gli eventi da dispositivi Cisco.

Syslog

Questo sensore di registro è in ascolto per eventi syslog.

66 Guida all'implementazione

Pianificazione agente

TIBCOLogSensor

Questo sensore di registro legge gli eventi da una coda del servizio messaggi di evento (EMS, Event Message Service) TIBCO nelle implementazioni CA

Access Control.

W3CLogSensor

Questo sensore di registro legge gli eventi da un file in formato registro

W3C.

WinRMLinuxLogSensor

Questo sensore di registro consente all'agente predefinito (Linux) sul server

CA User Activity Reporting Module di raccogliere gli eventi Windows.

WMILogSensor

Questo sensore di registro raccoglie gli eventi da origini eventi Windows utilizzando Windows Management Instrumentation (WMI).

Altri sensori di registro possono essere resi disponibili attraverso aggiornamenti della sottoscrizione. Ulteriori informazioni sulla configurazione dei sensori di registro sono disponibili nella guida online e nella Guida di amministrazione.

Dimensionamento della rete CA User Activity Reporting Module

Quando si pianifica il numero degli agenti necessari, è possibile utilizzare un semplice schema di ridimensionamento come il seguente. Primo, determinare il numero di connettori necessari. Non è necessario installare un agente su ogni fonte di evento. Sarà tuttavia necessario configurare un connettore per ogni origine evento diversa da syslog da cui si pianifica di raccogliere eventi. È possibile raccogliere gli eventi WMI da più origini eventi su un solo connettore aggiungendo un sensore di registro per ogni origine eventi. Tenere conto dei volumi degli eventi aggregati quando si configura un connettore in questo modo.

È possibile configurare i connettori syslog in diversi modi. Ad esempio, è possibile configurare un singolo connettore syslog per ricevere tutti gli eventi syslog a prescindere dal tipo. Tuttavia, è una buona prassi basare i connettori syslog sui volumi di eventi da specifiche origini eventi syslog.

È possibile installare gli agenti su un'origine eventi individuale. Si consiglia questo approccio quando il conteggio degli eventi da tale origine è elevato. Il piano deve includere una distinzione tra gli agenti in un'origine eventi e gli agenti in un host che opera come raccoglitore di diversi tipi di eventi.

Capitolo 2: Pianificazione dell'ambiente 67

Pianificazione agente

Effetti della regola di soppressione

Durante la pianificazione, è consigliabile riflettere sugli effetti delle regole di

soppressione, che impediscono agli eventi di essere inseriti nell'archivio registro eventi o di essere raccolti da un connettore. Le regole di soppressione sono sempre collegate a un connettore. È possibile applicare regole di soppressione a livello di agente o gruppo, oppure al server CA User Activity Reporting Module stesso. Gli effetti differiscono in base alla posizione:

■

Le regole di soppressione applicate a livello dell'agente o del gruppo impediscono agli eventi di essere raccolti, riducendo quindi l'importo del traffico di rete inviato al server CA User Activity Reporting Module.

■

Le regole di soppressione applicate al server CA User Activity Reporting

Module impediscono agli eventi di essere inseriti nel database, riducendo quindi la quantità di informazioni archiviate.

Occorre fare delle considerazioni sulle prestazioni potenziali derivanti dall'applicazione delle regole di soppressione agli eventi dopo il loro arrivo sul server CA User Activity Reporting Module, in particolare se si creano più regole di soppressione o se la velocità del flusso degli eventi è elevata.

Ad esempio, è consigliabile eliminare alcuni eventi da un firewall o da alcuni server Windows che producono eventi duplicati per la stessa azione. La mancata raccolta di questi eventi può velocizzare il trasferimento dei registri evento che si desidera mantenere e far risparmiare tempo per l'elaborazione sul server CA

User Activity Reporting Module. In casi simili, applicare una o più regole di soppressione adeguate ai componenti degli agenti.

Se si desidera eliminare tutti gli eventi di un certo tipo da più piattaforme o nell'intero ambiente, applicare una o più regole di soppressione adeguate sul server CA User Activity Reporting Module. La valutazione degli eventi in merito alla soppressione si verifica quando gli eventi arrivano al server CA User Activity

Reporting Module. L'applicazione di un vasto numero di regole di soppressione al server può portare a un rallentamento delle prestazioni, poiché il server deve applicare le regole di soppressione oltre a inserire gli eventi nell'archivio registro eventi.

Per le implementazioni più piccole, la soppressione può essere eseguita sul server CA User Activity Reporting Module. Si può anche scegliere di applicare la soppressione sul server per le distribuzioni in cui è in uso il riepilogo

(aggregazione). Se si stanno inserendo soltanto alcuni degli eventi da un'origine che genera grandi quantità di informazioni, si può sempre scegliere di eliminare gli eventi indesiderati a livello di agente o di gruppo di agenti per risparmiare tempo per l'elaborazione sul server CA User Activity Reporting Module.

68 Guida all'implementazione

Capitolo 3: Installazione di CA User Activity

Reporting Module

Questa sezione contiene i seguenti argomenti:

Nozioni fondamentali sull'ambiente CA User Activity Reporting Module

pagina 69)

Creazione dei DVD di installazione

(a pagina 71)

Installazione si un server CA User Activity Reporting Module

(a pagina 72)

Aggiornamento di server e agenti CA User Activity Reporting Module esistenti per il supporto FIPS

(a pagina 85)

Aggiunta di nuovi server CA User Activity Reporting Module in una federazione in modalità FIPS esistente

(a pagina 92)

Considerazioni sull'installazione di sistemi con unità di SAN

(a pagina 94)

Configurazioni server CA User Activity Reporting Module iniziali

(a pagina 102)

Installazione del client ODBC

(a pagina 111)

Installazione del client JDBC

(a pagina 117)

Risoluzione di problemi dell'installazione

(a pagina 121)

Nozioni fondamentali sull'ambiente CA User Activity Reporting

Module

CA User Activity Reporting Module è realizzato per essere operativo poco tempo dopo l'inizio dell'installazione ed essere subito in grado di raccogliere informazioni sui registri e generare rapporti. È necessario installare l'applicazione software CA User Activity Reporting Module su un sistema dedicato.

Importante: poiché il server CA User Activity Reporting Module è dedicato alla raccolta dei registri eventi ad alte prestazioni, non installare altre applicazioni sul server che lo ospita. Altrimenti, ciò potrebbe avere ripercussioni negative sulle prestazioni.

Esistono numerosi approcci che è possibile utilizzare per configurare l'ambiente.

Si consiglia la seguente configurazione specifica per meglio garantire la gestione di grandi quantità di eventi in ambienti aziendali.

Capitolo 3: Installazione di CA User Activity Reporting Module 69

Nozioni fondamentali sull'ambiente CA User Activity Reporting Module

Per un ambiente di produzione a livello aziendale di base, installare almeno due server CA User Activity Reporting Module nella rete esistente. I server CA User

Activity Reporting Module utilizzano i server DNS esistenti all'interno della rete per operare con origini evento e agenti host indicati. Un server si occupa della raccolta e l'altro dei rapporti dei registri eventi raccolti. In un ambiente costituito da due server, il server di gestione che si installa per primo assume il ruolo di server di rapporto. In qualità di server di gestione, esegue l'autenticazione e l'autorizzazione degli utenti e svolge altre funzioni di gestione.

La seguente illustrazione mostra questo ambiente di base con alcune origini evento:

Le righe continue in questo diagramma mostrano il flusso degli eventi dalle origini evento al server di raccolta o a un host agente e poi al server di raccolta.

È possibile raccogliere direttamente eventi syslog utilizzando l'agente predefinito sul server di raccolta CA User Activity Reporting Module. È anche possibile configurare uno o più connettori su un host agente separato per eseguire la raccolta da diverse fonti syslog (non mostrate in questo diagramma).

70 Guida all'implementazione

Creazione dei DVD di installazione

La raccolta degli eventi di Windows utilizza Windows Management

Instrumentation (WMI) per monitorare i server Windows per questi eventi. Ciò richiede la configurazione di un connettore WMI o di un agente installato su un host Windows come punto di raccolta di un evento. Per alcuni altri tipi di evento, si può decidere di utilizzare un CA Technologies iRecorder autonomo su un server host.

È possibile configurare e gestire gli agenti e i connettori di queste origini evento da qualsiasi server CA User Activity Reporting Module nella rete. Le linee tratteggiate nel diagramma rappresentano il traffico di configurazione e di controllo tra il server di gestione e gli agenti e ognuno degli altri server CA User

Activity Reporting Module. Nell'ambiente raffigurato in questo diagramma, si eseguono le configurazioni dal server di gestione. Questo consente al server di raccolta di concentrarsi sull'elaborazione degli eventi.

L'ambiente di raccolta dei registri in cui si installano i server CA User Activity

Reporting Module presenta le seguenti caratteristiche:

■

Il server di gestione CA User Activity Reporting Module gestisce l'autenticazione e le autorizzazioni degli utenti e le configurazioni di tutti i server, degli agenti e dei connettori CA User Activity Reporting Module all'interno della rete utilizzando il suo server locale CA EEM.

A seconda delle dimensioni della rete e della relativa quantità di eventi, è possibile scegliere di installare più di un server di gestione e creare federazioni di server di raccolta per ciascuno. Oppure è possibile dedicare diversi server alla creazione di rapporti, laddove tutti i server di rapporto sono registrati con il server di gestione. In questo scenario, il flusso degli eventi passa dalle origini evento al server di raccolta configurato al server di rapporto configurato.

■

Uno o più server di raccolta CA User Activity Reporting Module elaborano e archiviano gli eventi in ingresso.

Gli eventi passano attraverso la rete di raccolta degli eventi da una serie di origini evento dopo che vengono configurati i connettori o gli adapter corrispondenti.

Creazione dei DVD di installazione

Il software CA User Activity Reporting Module è disponibile come immagini ISO scaricabili e compresse. Dopo avere scaricato il software, è necessario creare supporti DVD prima di poter effettuare l'installazione. Utilizzare questa procedura per scaricare le immagini ISO e creare i dischi di installazione.

Capitolo 3: Installazione di CA User Activity Reporting Module 71

Installazione si un server CA User Activity Reporting Module

Per creare i DVD di installazione

1. Accedere al server di download all'indirizzo

http://ca.com/support

da un computer connesso a Internet.

2. Fare clic sul collegamento Technical Support e selezionare il collegamento

Download Center.

3. Scegliere CA User Activity Reporting Module nel campo Select a Product e scegliere la versione di interesse nel campo Select a Release.

4. Selezionare la casella di controllo Select all components e fare clic su Go.

Apparirà la pagina Published Solutions Downloads.

5. Selezionare il pacchetto da scaricare.

Viene visualizzata la pagina del documento delle soluzioni.

6. Scorrere in fondo alla pagina e selezionare il collegamento Download di fianco al nome del pacchetto.

Il download del pacchetto avrà inizio.

Nota: il download potrebbe richiedere alcuni minuti prima del completamento, a seconda della velocità della connessione.

7. Decomprimere le due immagini dell'installazione.

8. Creare due dischi di installazione separati masterizzando il sistema operativo e le immagini del disco ISO CA User Activity Reporting Module su supporti DVD-RW separati.

I due dischi di installazione contengono tutti i componenti del sistema operativo e del prodotto, rispettivamente, per l'ambiente CA User Activity

Reporting Module. È possibile decidere di utilizzare nel proprio ambiente altri componenti come registratori SAPI o iRecorder. Si tratta di download separati disponibili sul sito Web di supporto di CA Technologies.

9. Utilizzare i dischi di installazione appena creati per eseguire le installazioni.

Installazione si un server CA User Activity Reporting Module

Per l'installazione, effettuare le seguenti operazioni:

■

Completamento del foglio di calcolo del server CA User Activity Reporting

Module

■

Installazione del server di gestione CA User Activity Reporting Module.

Nota: se si utilizza l'archiviazione SAN, evitare di installare su un'unità SAN.

72 Guida all'implementazione

Installazione si un server CA User Activity Reporting Module

■

Installazione di uno o più server di raccolta CA User Activity Reporting

Module

(Facoltativo) Consente di installare uno o più server di rapporto

Nota: se non viene installato un server dedicato ai rapporti, è possibile utilizzare il server di gestione per il ruolo del server di rapporto.

(Facoltativo) Installazione di un server di punto di ripristino

Verifica dell'installazione

Visualizzazione degli eventi di automonitoraggio

Importante: Configurare i dischi di archiviazione in un array RAID prima di iniziare l'installazione di CA User Activity Reporting Module. Configurare i primi due dischi come RAID 1 e impostare questo array come array di avvio.

Configurare i dischi rimanenti come array RAID 5 singolo. Se non viene configurato un array RAID si potrebbe verificare la perdita dei dati.

Per la sicurezza generale del server CA User Activity Reporting Module stesso, durante l'installazione l'utilità Grand Unified Boot-loader (GRUB) è protetta da password.

Foglio di lavoro del server CA User Activity Reporting Module

Prima di installare un server CA User Activity Reporting Module, raccogliere le informazioni nella seguente tabella. Una volta completato il foglio di lavoro, è possibile utilizzarlo mentre si lavora nei prompt di installazione. È possibile stampare e completare una serie di fogli di lavoro separati per ogni server CA

User Activity Reporting Module che si ha intenzione di installare.

Informazioni CA User Activity

Reporting Module

Valore Commenti

Disco SO

Tipo tastiera

Selezione fuso orario

valore appropriato

fuso orario desiderato

Specificare il tipo di tastiera che si desidera utilizzare per l'impostazione della lingua.

Il valore predefinito corrisponde alle impostazioni hardware della tastiera connessa al server.

Selezionare il fuso orario del server.

Capitolo 3: Installazione di CA User Activity Reporting Module 73

Installazione si un server CA User Activity Reporting Module

Informazioni CA User Activity

Reporting Module

Password principale

Disco applicazione

Nuovo nome host

Selezione di una periferica

Indirizzo IP, Subnet mask e

Gateway predefinito

Nome dominio

Valore Commenti

nuova password principale Creare e confermare una nuova password per il server.

nome host per il server CA

User Activity Reporting

Module corrente

Ad esempio:

CA-ELM1

Specificare il nome host del server utilizzando soltanto i caratteri supportati per gli host. Gli standard industriali consigliano l'utilizzo dei caratteri A-Z (senza distinzione di maiuscole), 0-9 ed i trattini, dove il primo carattere corrisponde ad una lettera e l'ultimo ad un carattere alfanumerico. Non utilizzare caratteri di sottolineatura.

Nota: non aggiungere un nome dominio al valore del nome host.

device name

valori IP rilevanti

il nome del dominio

Selezionare il nome della scheda di rete da utilizzare per le raccolte e le comunicazioni degli eventi di log.

Premere la barra spaziatrice per inserire la configurazione della periferica.

Inserire un indirizzo IP valido per il server.

Inserire una subnet mask ed un gate predefinito da utilizzare con il server.

Inserire il nome dominio completo del server, ad esempio mycompany.com.

Nota: per abilitare la risoluzione del nome host nell'indirizzo IP è necessario registrare il nome del dominio sul server DNS di rete.

74 Guida all'implementazione

Installazione si un server CA User Activity Reporting Module

Informazioni CA User Activity

Reporting Module

Elenco di server DNS

Data e ora di sistema

Valore

indirizzi IPv4 o IPv6

corrispondenti

data e ora locali

Aggiornare l'ora attraverso NTP? Sì (consigliato) o No

Nome o indirizzo del server NTP

Nome host o indirizzo IP

corrispondenti

EULA Sun Java JDK

EULA CA

Sì

Commenti

Immettere uno o più indirizzi IP di server DNS utilizzati nella rete. elenco separato da virgole senza spazi tra le voci.

Se i server DNS utilizzano indirizzi

IPv6, immettere questi indirizzi in quel formato.

Se necessario, inserire una nuova data e una nuova ora di sistema.

Indicare se si vuole configurare il server CA User Activity Reporting

Module per aggiornarne la data e l'ora da un server Network Time

Protocol (NTP).

Nota: la sincronizzazione dell'ora garantisce che gli avvisi contengano dati completi.

Immettere il nome host o l'indirizzo

IP valido del server NTP da cui questo server CA User Activity

Reporting Module riceve informazioni sulla data e l'ora.

Leggere il contratto di licenza facendo scorrere la pagina fino a visualizzare la domanda Accettare i termini della licenza sopracitati? [sì o no].

Capitolo 3: Installazione di CA User Activity Reporting Module 75

Installazione si un server CA User Activity Reporting Module

Informazioni CA User Activity

Reporting Module

Valore Commenti

Server CA Embedded Entitlements

Manager locale o remoto?

Locale: per il primo server installato (server di gestione)

Indicare se si desidera utilizzare un server CA EEM locale o remoto.

Remoto: per ogni server aggiuntivo

Per un server di gestione CA User

Activity Reporting Module, scegliere il server remoto. L'installazione richiede di creare una password per l'account utente EiamAdmin predefinito.

Per ogni server aggiuntivo, scegliere

Remoto. L'installazione richiede il nome del server di gestione.

Indipendentemente dal tipo di server scelto (locale o remoto), è necessario utilizzare l'ID e la password dell'account EiamAdmin per accedere per la prima volta a

ciascun server CA User Activity

Reporting Module.

Immettere il nome del server CA

EEM

Nome host o indirizzo IP Questo prompt viene visualizzato solo se si seleziona Remoto per il prompt del server locale o remoto.

Immettere l'indirizzo IP o il nome host del server di gestione CA User

Activity Reporting Module installato per primo.

Il nome host deve essere registrato con il server DNS.

76 Guida all'implementazione

Installazione si un server CA User Activity Reporting Module

Informazioni CA User Activity

Reporting Module

Password amministratore del server CA EEM

Valore

Password account

EiamAdmin

Commenti

Registrare la password per l'account amministratore predefinito,

EiamAdmin.

L'accesso iniziale al server CA User

Activity Reporting Module richiede queste credenziali dell'account.

Se si installa il server di gestione, creare e confermare qui la nuova password EiamAdmin.

Annotare questa password poiché essa verrà utilizzata nuovamente durante l'installazione degli altri server e agenti CA User Activity

Reporting Module.

Nota: la password qui inserita è anche la password iniziale dell'account caelmadmin predefinito che verrà utilizzato per accedere direttamente al server CA

User Activity Reporting Module attraverso ssh.

È possibile creare account amministratore aggiuntivi per accedere alle funzioni CA EEM dopo l'installazione, se lo si desidera.

Capitolo 3: Installazione di CA User Activity Reporting Module 77

Installazione si un server CA User Activity Reporting Module

Informazioni CA User Activity

Reporting Module

Nome istanza dell'applicazione

Valore Commenti

Eseguire il server CAELM in modalità FIPS?

CAELM sì o no

Quando si installa il primo server CA

User Activity Reporting Module della rete, si crea in questo prompt un valore istanza dell'applicazione.

I server CA User Activity Reporting

Module successivi utilizzano il valore per la registrazione con il server di gestione.

Il nome istanza dell'applicazione predefinito è CAELM.

È possibile utilizzare qualsiasi nome per il valore. Annotare il nome istanza dell'applicazione per le successive installazioni di CA User

Activity Reporting Module.

La risposta al prompt determina se il server CA User Activity Reporting

Module verrà avviato in modalità

FIPS.

Nota: se si aggiunge un server a una distribuzione CA User Activity

Reporting Module esistente, anche il server di gestione CA User Activity

Reporting Module o il server remoto CA EEM dovranno essere in modalità FIPS. Se la modalità FIPS non viene abilitata, il nuovo server non potrà essere registrato e sarà necessario reinstallarlo.

Nota: l'installazione consente di verificare e modificare i dettagli relativi al server CA EEM prima che venga stabilita la connessione.

Se il programma di installazione non è in grado di connettersi al server di gestione specificato e si decide di continuare l'installazione, è possibile registrare il server CA User Activity Reporting Module manualmente con la funzionalità CA EEM incorporata. Se ciò accade, è necessario importare manualmente anche i file di gestione del contenuto, CEG e dell'agente. Fare riferimento alla sezione sulla risoluzione dei problemi legati all'installazione per ulteriori informazioni e istruzioni.

78 Guida all'implementazione

Installazione si un server CA User Activity Reporting Module

Ulteriori informazioni:

Registrare il server CA User Activity Reporting Module con il server CA EEM

pagina 124)

Acquisizione di certificati dal server CA EEM

(a pagina 125)

Importazione dei rapporti CA User Activity Reporting Module

(a pagina 125)

Importazione dei file di mapping dei dati CA User Activity Reporting Module

pagina 126)

Importazione dei file della grammatica evento comune (CEG)

(a pagina 127)

Importazione dei file di gestione degli agenti comuni

(a pagina 128)

Installazione di CA User Activity Reporting Module

Utilizzare questa procedura per installare un server CA User Activity Reporting

Module.

Per installare il software CA User Activity Reporting Module

1. Avviare il server con il DVD di installazione del sistema operativo.

L'installazione del sistema operativo si avvia automaticamente.

2. Rispondere ai prompt usando le informazioni raccolte nel foglio di calcolo del server CA User Activity Reporting Module.

Rifiutando il Contratto di licenza, si interrompe l'installazione e il server viene arrestato.

3. Rispondere al prompt al riavvio rimuovendo prima il supporto e poi selezionando Riavvia.

4. Inserire il disco dell'applicazione CA User Activity Reporting Module quando richiesto e premere Invio.

5. Rispondere ai prompt usando le informazioni raccolte nel foglio di lavoro.

Il processo di installazione prosegue. Quando viene visualizzato il messaggio

"Installazione di CA User Activity Reporting Module riuscita", l'installazione

è completa.

Nota: quando si installa un secondo o successivo server CA User Activity

Reporting Module, è possibile notare un messaggio di errore nel registro di installazione che indica che il nome dell'applicazione che l'installazione ha provato a registrare con il server CA EEM esiste già. È possibile ignorare in sicurezza questo errore, poiché ogni installazione di CA User Activity

Reporting Module prova a creare il nome dell'applicazione come se fosse nuovo.

Capitolo 3: Installazione di CA User Activity Reporting Module 79

Installazione si un server CA User Activity Reporting Module

Al termine dell'installazione, è necessario configurare il server CA User Activity

Reporting Module prima di potere ricevere eventi. Ciò può includere la configurazione di un connettore sull'agente predefinito per ricevere eventi syslog.

Ulteriori informazioni

Risoluzione di problemi dell'installazione

(a pagina 121)

Configurazione dell'agente predefinito

(a pagina 205)

Verifica dell'esecuzione del processo iGateway

Se non è possibile accedere all'interfaccia web del server CA User Activity

Reporting Module dopo l'installazione e si è certi che le porte dell'interfaccia di rete siano configurate correttamente, probabilmente il processo igateway non è in esecuzione.

È possibile eseguire un controllo rapido dello stato del processo iGateway utilizzando questa procedura. Il processo iGateway deve essere in esecuzione affinché il server CA User Activity Reporting Module raccolga eventi e l'interfaccia utente sia accessibile.

Per verificare il daemon iGateway

1. Accedere ad un prompt dei comandi su un server CA User Activity Reporting

Module.

2. Accedere con le credenziali dell'account caelmadmin.

3. Passare all'account dell'utente principale con il seguente comando: su - root

4. Utilizzare il seguente comando per verificare che il processo iGateway sia in esecuzione: ps -ef | grep igateway

Il sistema operativo restituisce le informazioni sul processo iGateway e un elenco di processi in esecuzione in iGateway.

Ulteriori informazioni:

Risoluzione di errori di configurazione dell'interfaccia di rete

(a pagina 123)

80 Guida all'implementazione

Installazione si un server CA User Activity Reporting Module

Avviare il daemon o il servizio iGateway

Il daemon o servizio iGateway è il processo che gestisce tutte le chiamate all'interfaccia utente sia per CA EEM che CA User Activity Reporting Module. Il processo deve essere in esecuzione per poter accedere ad entrambe le applicazioni. Utilizzare questa procedura per avviare il processo iGateway se non è in esecuzione.

Nota: se non si è in grado di avviare iGateway, assicurarsi che la cartella "/" disponga di spazio su disco. La mancanza di spazio su disco potrebbe impedire di avviare correttamente iGateway.

Per avviare il daemon o il servizio iGateway

1. Accedere come utente caelmadmin per il server CA User Activity Reporting

Module.

2. Passare all'account dell'utente principale con il seguente comando: su -

3. Avviare il processo igateway con il seguente comando:

$IGW_LOC/S99igateway start

S99igateway è lo script di avvio del procsso igateway ed è di proprietà dell'utente principale. Quando viene avviato il processo igateway, viene eseguito con l'account utente caelmservice.

Capitolo 3: Installazione di CA User Activity Reporting Module 81

Installazione si un server CA User Activity Reporting Module

Terminare il daemon o il servizio iGateway

Il daemon o servizio iGateway è il processo che gestisce tutte le chiamate all'interfaccia utente sia per CA EEM che CA User Activity Reporting Module. Il processo deve essere in esecuzione per poter accedere ad entrambe le applicazioni. Utilizzare questa procedura per terminare il processo iGateway. Si potrebbe effettuare questa operazione in preparazione del riavvio del processo o rimuovendo un server CA User Activity Reporting Module dalla rete.

Per terminare il daemon o il servizio iGateway

1. Accedere come utente caelmadmin per il server CA User Activity Reporting

Module.

2. Passare all'account dell'utente principale con il seguente comando: su -

3. Terminare il processo igateway con il seguente comando:

$IGW_LOC/S99igateway stop

S99igateway è lo script di avvio del processo igateway ed è di proprietà dell'utente principale. Quando viene avviato il processo igateway, viene eseguito con l'account utente caelmservice.

Avviare il daemon o il servizio dell'agente CA User Activity Reporting Module

Il daemon o il servizio dell'agente CA User Activity Reporting Module è il processo che gestisce i connettori che inviano gli eventi raccolti a un server CA

User Activity Reporting Module. Il processo deve essere in esecuzione affinché i connettori possano raccogliere gli eventi. Utilizzare questa procedura per avviare il processo dell'agente CA User Activity Reporting Module se non è in esecuzione.

Per avviare il daemon o il servizio dell'agente CA ELM

1. Accedere come utente principale o amministratore Windows.

2. Accedere a un prompt dei comandi, quindi immettere il seguente comando:

Linux, UNIX, Solaris: /opt/CA/ELMAgent/bin/S99elmagent start

Windows: net start ca-elmagent

82 Guida all'implementazione

Installazione si un server CA User Activity Reporting Module

Terminare il daemon o il servizio dell'agente CA User Activity Reporting Module

Il daemon o il servizio dell'agente CA User Activity Reporting Module è il processo che gestisce i connettori che inviano gli eventi raccolti a un server CA

User Activity Reporting Module. Il processo deve essere in esecuzione affinché i connettori possano raccogliere gli eventi. Utilizzare questa procedura per terminare il processo CA User Activity Reporting Module. Normalmente, i comandi di avvio e interruzione sono eseguiti dall'interno dell'Explorer agente su ogni server CA User Activity Reporting Module. È possibile utilizzare questo comando in preparazione del riavvio di un processo dell'agente e di tutti i suoi connettori.

Per terminare il daemon o il servizio dell'agente CA ELM

1. Accedere come utente principale o amministratore Windows.

2. Accedere a un prompt dei comandi, quindi immettere il seguente comando:

Linux, UNIX, Solaris: /opt/CA/ELMAgent/bin/S99elmagent stop

Windows: net stop ca-elmagent

Verifica dell'installazione del server CA User Activity Reporting Module

È possibile verificare l'installazione del server CA User Activity Reporting Module utilizzando un browser Web. È possibile eseguire una verifica iniziale dell'installazione effettuando l'accesso al server CA User Activity Reporting

Module.

Nota: quando si accede all'applicazione CA User Activity Reporting Module per la prima volta, è necessario utilizzare le credenziali dell'utente EiamAdmin con cui è stato installato il server CA User Activity Reporting Module. Dopo avere effettuato l'accesso con questo account utente, è possibile vedere e utilizzare solo specifiche funzioni di gestione degli utenti e degli accessi. Si procede quindi con la configurazione dell'archivio utente e la creazione di un nuovo account utente CA User Activity Reporting Module per accedere ad altre funzionalità CA

User Activity Reporting Module.

Capitolo 3: Installazione di CA User Activity Reporting Module 83

Installazione si un server CA User Activity Reporting Module

Per verificare il server CA User Activity Reporting Module

1. Aprire un browser Web e immettere il seguente URL: https://<indirizzo_IP_server>:5250/spin/calm

Viene visualizzata la schermata di accesso a CA User Activity Reporting

Module.

2. Effettuare l'accesso come utente amministrativo EiamAdmin.

Apparirà la sottoscheda Gestione utenti e accessi della scheda

Amministrazione. L'installazione è andata a buon fine se è possibile effettuare l'accesso al server CA User Activity Reporting Module.

Nota: è necessario configurare uno o più servizi delle origini evento prima di potere ricevere i dati degli eventi e visualizzare i rapporti.

Visualizzazione degli eventi di automonitoraggio

È possibile utilizzare gli eventi di automonitoraggio per verificare che il server CA

User Activity Reporting Module sia installato correttamente. Mentre sono presenti alcune attività di configurazione da completare prima che CA User

Activity Reporting Module possa raccogliere e inviare rapporti sui dati dei registri eventi da qualsiasi punto della rete, è possibile vedere gli eventi di automonitoraggio generati immediatamente dal server CA User Activity

Reporting Module.

L'accesso al server CA User Activity Reporting Module è la prima prova, e la migliore, di un'installazione eseguita correttamente. Gli eventi di automonitoraggio sono un altro modo per verificare lo stato del server CA User

Activity Reporting Module. Sono disponibili diversi tipi di eventi di automonitoraggio. Utilizzare questa procedura per vedere dati aggiuntivi dagli eventi generati dal server CA User Activity Reporting Module stesso.

Per visualizzare eventi di automonitoraggio

1. Accedere al server CA User Activity Reporting Module.

2. Selezionare la scheda Rapporti.

3. Fare clic sulla scheda Sistema e selezionare il rapporto Dettagli eventi di automonitoraggio.

Verrà caricato il rapporto sull'evento di automonitoraggio.

4. Verificare che gli eventi di automonitoraggio per l'accesso effettuato e altre azioni di configurazione preliminari siano presenti nel rapporto.

84 Guida all'implementazione

Aggiornamento di server e agenti CA User Activity Reporting Module esistenti per il supporto FIPS

Aggiornamento di server e agenti CA User Activity Reporting

Module esistenti per il supporto FIPS

È possibile eseguire l'aggiornamento di agenti e server CA User Activity

Reporting Module per il supporto FIPS mediante il servizio di sottoscrizione. Il processo di aggiornamento presuppone che:

■

CA User Activity Reporting Module r12.1 sia installato o aggiornato a tale versione dalla versione r12.0 SP3.

■

L'utente desidera attivare la modalità FIPS per la federazione CA User

Activity Reporting Module.

Per aggiornare i server, procedere come segue:

Capitolo 3: Installazione di CA User Activity Reporting Module 85

Aggiornamento di server e agenti CA User Activity Reporting Module esistenti per il supporto FIPS

Il processo di aggiornamento ed attivazione di FIPS include i seguenti passaggi:

1. Aggiornare il server primario o il server di gestione alla versione r12.1 SP1.

Se si utilizza un server CA EEM remoto, assicurarsi che si trovi a un livello di versione che supporta FIPS. Consultare le Note di rilascio di CA EEM per ulteriori informazioni sull'aggiornamento del supporto FIPS.

Istruzioni dettagliate per l'utilizzo del servizio di sottoscrizione per l'aggiornamento sia di server che di agenti CA User Activity Reporting

Module sono disponibili nella sezione relativa alla sottoscrizione della Guida

all'amministrazione.

2. Aggiornare tutti gli altri server CA User Activity Reporting Module in una federazione a r12.1 SP1.

3. Aggiornare tutti gli agenti alla versione r12.1 SP1 e aggiornare i sensori di log del connettore come richiesto.

Importante: Se viene distribuito un connettore che utilizza il sensore di log syslog su un host Windows, aggiornare tutte le configurazioni del connettore per utilizzare la versione più recente del sensore syslog per questa versione, quando è in esecuzione in modalità FIPS. Fare riferimento alla Matrice di integrazione del prodotto

https://support.ca.com/irj/portal/anonymous/phpdocs?filePath=0/8238/82

38_integration_certmatrix.html

CA User Activity Reporting Module per l'elenco aggiornato delle integrazioni che utilizzano il sensore di log syslog.

4. Disabilitare l'accesso di ODBC e di JDBC al deposito eventi di log.

5. Attivare la modalità FIPS su ogni server secondario CA User Activity

Reporting Module nella federazione.

Gli agenti rilevano automaticamente la modalità dal server CA User Activity

Reporting Module che li gestisce.

6. Attivare la modalità FIPS sul server primario o di gestione.

7. Verificare che gli agenti siano in esecuzione in modalità FIPS mediante il dashboard Gestione agenti.

È inoltre possibile verificare che gli agenti inviino eventi utilizzando una query o un rapporto o controllando la scheda degli eventi di automonitoraggio nel servizio di stato del sistema.

86 Guida all'implementazione

Aggiornamento di server e agenti CA User Activity Reporting Module esistenti per il supporto FIPS

Quando si esegue l'aggiornamento di un agente esistente alla versione r12.1

SP1, l'elaborazione della sottoscrizione aggiorna l'agente in modalità non FIPS per impostazione predefinita. È stata impostata la modalità FIPS per il server CA

User Activity Reporting Module che gestisce un agente. Un agente rileva la modalità FIPS del server di gestione e riavvia se stesso nella modalità richiesta.

Se si dispone di privilegi di amministratore, utilizzare il dashboard Gestione agenti nell'interfaccia utente di CA User Activity Reporting Module per visualizzare la modalità FIPS per un agente. Visualizzare le informazioni sugli aggiornamenti nella sezione relativa all'installazione CA User Activity Reporting

Module della Guida all'implementazione, o consultare la Guida in linea per ulteriori informazioni su attività di gestione degli agenti.

Ulteriori informazioni:

Abilitare operazioni di modalità FIPS

(a pagina 89)

Visualizzare il dashboard di agente

(a pagina 91)

Prerequisiti per l'aggiornamento del supporto FIPS

Di seguito vengono riportati i prerequisiti per l'aggiornamento di CA User

Activity Reporting Module al supporto FIPS 140-2:

■

Iniziare con un'installazione di CA User Activity Reporting Module r12.0 SP3 o r12.1

■

Aggiornamento a CA User Activity Reporting Module r12.1 SP1 attraverso la sottoscrizione

Ulteriori informazioni:

Aggiunta di nuovi server CA User Activity Reporting Module in una federazione in modalità FIPS esistente

(a pagina 92)

Capitolo 3: Installazione di CA User Activity Reporting Module 87

Aggiornamento di server e agenti CA User Activity Reporting Module esistenti per il supporto FIPS

Linee guida sull'aggiornamento

Le seguenti linee guida sono valide per l'aggiornamento a CA User Activity

Reporting Module con supporto FIPS:

■

Se si dispone di più server CA User Activity Reporting Module in una federazione, aggiornare prima il server primario o il server di gestione CA

User Activity Reporting Module alla versione r12.1 SP1. Quindi è possibile aggiornare tutti gli altri server in qualsiasi ordine. Il server viene avviato solo in modalità non FIPS. L'abilitazione della modalità FIPS richiede un utente con diritti di amministratore (per potere impostare la modalità manualmente).

Importante: Non passare alla modalità FIPS su qualsiasi server secondario

CA User Activity Reporting Module durante l'elaborazione della sottoscrizione. Ciò potrebbe causare l'interruzione del processo di sottoscrizione.

■

I server CA User Activity Reporting Module della versione r12.1 SP1 sono in grado di comunicare con gli agenti della versione r12.1, ma il supporto FIPS a livello di agente non è disponibile prima di eseguire l'aggiornamento alla versione r12.1 SP1.

Quando viene attivata la modalità FIPS, solo gli agenti abilitati per FIPS nella versione r12.1 SP1 e versioni successive possono comunicare con i server CA

User Activity Reporting Module. Quando viene attivata la modalità non FIPS, il server CA User Activity Reporting Module è completamente compatibile con gli agenti di versioni precedenti, ma la modalità FIPS non è disponibile. È consigliabile installare solo agenti della versione r12.1 SP1 dopo l'aggiornamento dei server CA User Activity Reporting Module alla versione r12.1 SP1.

■

Gli agenti associati a un server CA User Activity Reporting Module rilevano automaticamente le modifiche alla modalità del server vengono riavviati automaticamente nella modalità corrispondente.

■

L'aggiunta di un nuovo server CA User Activity Reporting Module in una federazione esistente in esecuzione in modalità FIPS richiede una gestione speciale. Per ulteriori informazioni, consultare la sezione relativa all'aggiunta di un nuovo server CA User Activity Reporting Module in una federazione esistente della Guida all'implementazione.

88 Guida all'implementazione

Aggiornamento di server e agenti CA User Activity Reporting Module esistenti per il supporto FIPS

Aggiornamento di un server CA EEM remoto

Se si sta utilizzando un server CA EEM standalone con l'installazione di CA User

Activity Reporting Module, aggiornare il server per il supporto FIPS prima di eseguire l'aggiornamento di qualsiasi altro server o agente di CA User Activity

Reporting Module. Per ulteriori dettagli ed istruzioni, consultare la Guida

introduttiva di CA EEM.

Disabilitare l'accesso ODBC e JDBC al deposito eventi di log

È possibile impedire l'accesso di ODBC e JDBC agli eventi nel deposito eventi di log utilizzando le opzioni della finestra di configurazione del servizio ODBC. Se si desidera eseguire una rete federata in modalità FIPS, disattivare l'accesso ODBC e JDBC per rimanere in conformità con gli standard della federazione.

Per disattivare l'accesso ODBC e JDBC

1. Accedere al server CA User Activity Reporting Module ed accedere alla scheda Amministrazione.

2. Fare clic sulla sottoscheda Servizi e quindi espandere il nodo Servizio ODBC.

3. Selezionare il server desiderato.

4. Deselezionare la casella di controllo Abilita servizio e fare clic su Salva.

Nota: disabilitare l'opzione ODBC per tutti i server CA User Activity

Reporting Module in una federazione per verificare che ODBC e JDBC siano disattivati.

Abilitare operazioni di modalità FIPS

Abilitare o disabilitare la modalità FIPS mediante le opzioni della modalità FIPS del servizio Stato del sistema. La modalità FIPS predefinita è non FIPS. Gli amministratori devono impostare la modalità FIPS per ogni server CA User

Activity Reporting Module di una federazione.

Importante: Non è possibile utilizzare modalità miste all'interno di una stessa federazione di server. Se viene eseguita una modalità diversa su un server qualsiasi di una federazione questo non potrà recuperare i dati relativi a query e rapporti, né rispondere a richieste dagli altri server.

Capitolo 3: Installazione di CA User Activity Reporting Module 89

Aggiornamento di server e agenti CA User Activity Reporting Module esistenti per il supporto FIPS

Per passare dalla modalità FIPS a non FIPS

1. Accedere al server CA User Activity Reporting Module.

2. Accedere alla scheda Amministrazione, quindi fare clic sulla sottoscheda

Servizi.

3. Espandere il nodo del servizio Stato del Sistema e selezionare il server CA

User Activity Reporting Module desiderato.

Viene visualizzata la finestra di dialogo per la configurazione del servizio

Stato del sistema.

4. Abilitare o disabilitare la modalità FIPS desiderata dall'elenco a discesa a seconda delle proprie esigenze..

5. Fare clic su Salva.

Il server CA User Activity Reporting Module viene riavviato nella modalità selezionata. È `possibile ripetere l'accesso per visualizzare la modalità FIPS dell'agente da Gestione agenti.

6. Verificare la modalità operativa del server CA User Activity Reporting

Module nella finestra di dialogo del servizio Stato del sistema dopo il riavvio del server.

È anche possibile utilizzare eventi di automonitoraggio per verificare il riavvio del server CA User Activity Reporting Module nella modalità desiderata. Cercare i seguenti eventi nella scheda Eventi di automonitoraggio nella finestra di dialogo Stato del sistema:

Modalità FIPS del server abilitata correttamente

Modalità FIPS del server disabilitata correttamente

Impossibile abilitare la modalità FIPS del server

Impossibile disabilitare la modalità FIPS del server

La disabilitazione della modalità FIPS per il server primario o di gestione blocca il processo di restituzione dei dati delle query e dei rapporti federati. Inoltre, non vengono eseguiti i rapporti pianificati. Questa condizione persiste finché tutti i server della federazione non vengono eseguiti nuovamente nella stessa modalità.

Nota: la disabilitazione di FIPS sul server remoto o di gestione CA EEM è un requisito necessario per aggiungere un nuovo server CA User Activity Reporting

Module a una federazione di server in esecuzione in modalità FIPS.

90 Guida all'implementazione

Aggiornamento di server e agenti CA User Activity Reporting Module esistenti per il supporto FIPS

Visualizzare il dashboard di agente

È possibile visualizzare il dashboard di agente per visualizzare lo stato degli agenti nell'ambiente. Il dashboard visualizza inoltre alcuni dettagli come la modalità FIPS corrente (FIPS o non FIPS), e i dettagli di utilizzo. Questi includono il caricamento eventi al secondo, l'uso percentuale della CPU e la data e l'ora dell'ultimo aggiornamento.

Per visualizzare il dashboard di agente

1. Fare clic sulla scheda Amministrazione, e quindi sulla sottoscheda Raccolta registri.

Verrà visualizzato l'elenco cartella di Raccolta registri.

2. Selezionare la cartella Explorer agente.

Nel riquadro dei dettagli vengono visualizzati i pulsanti di gestione agente.

3. Fare clic su Monitoraggio di stato e dashboard di agente:

Verrà visualizzato il riquadro di ricerca agente, che mostra lo stato di tutti gli agenti disponibili per mezzo di un grafico informativo. Ad esempio:

Totale: 10 In esecuzione: 8 In sospeso: 1 Terminati: 1 Non risponde: 0

4. (Facoltativo) Selezionare i criteri di ricerca degli agenti per restringere l'elenco degli agenti visualizzati. È possibile selezionare uno o più criteri fra i seguenti:

■

Gruppo di agenti: restituisce solo gli agenti assegnati al gruppo selezionato.

Piattaforma: restituisce solo gli agenti in esecuzione sulla piattaforma selezionata.

■

Stato: restituisce solo gli agenti con lo stato selezionato, ad esempio In esecuzione.

Modello nome agente: restituisce solo gli agenti contenenti il modello specificato.

Capitolo 3: Installazione di CA User Activity Reporting Module 91

Aggiunta di nuovi server CA User Activity Reporting Module in una federazione in modalità FIPS esistente

5. Fare clic su Mostra stato.

Verrà visualizzato un elenco degli agenti che soddisfano i criteri di ricerca, con l'aggiunta di una serie di informazioni fra cui:

■

Nome e versione del connettore locale

Server CA User Activity Reporting Module corrente

■

Modalità FIPS dell'agente (FIPS o non FIPS)

Ultimo carico di eventi al secondo registrato e gestito dall'agente

Ultimo valore di utilizzo della CPU registrato

Ultimo valore di utilizzo della memoria registrato

■

Ultimo aggiornamento di configurazione

Stato dell'aggiornamento di configurazione

Aggiunta di nuovi server CA User Activity Reporting Module in una federazione in modalità FIPS esistente

Sono disponibili delle linee guida speciali per l'aggiunta di un nuovo server CA

User Activity Reporting Module in una federazione di server già in esecuzione in modalità FIPS. Se la modalità FIPS non viene specificata durante l'installazione, i nuovi server CA User Activity Reporting Module installati verranno eseguiti in modalità non FIPS per impostazione predefinita. I server in esecuzione in modalità non FIPS non possono comunicare con i server in esecuzione in modalità FIPS.

Come parte dell'installazione, è necessario che un nuovo server CA User Activity

Reporting Module venga registrato con il server locale CA EEM incorporato nel server di gestione, o con un server standalone remoto di CA EEM. I processi di aggiunta di un server a una rete esistente sono basati sul percorso del server di gestione CA EEM.

92 Guida all'implementazione

Aggiunta di nuovi server CA User Activity Reporting Module in una federazione in modalità FIPS esistente

Considerare il seguente flusso di lavoro:

Capitolo 3: Installazione di CA User Activity Reporting Module 93

Considerazioni sull'installazione di sistemi con unità di SAN

Il processo di aggiunta di un nuovo server comprende i seguenti passaggi:

1. Verificare che la modalità FIPS sia abilitata sul server di gestione (primario)

CA User Activity Reporting Module o sul server remoto CA EEM.

2. Installare uno o più nuovi server secondari CA User Activity Reporting

Module mediante l'immagine ISO o i DVD per CA User Activity Reporting

Module 12.1 SP1 o versioni successive.

Importante: Accertarsi di specificare la modalità FIPS durante l'installazione.

In caso contrario, il nuovo server installato non potrà comunicare con il server di gestione o il server remoto CA EEM e sarà necessario reinstallare il nuovo server CA User Activity Reporting Module.

L'abilitazione della modalità FIPS per il server di gestione CA User Activity

Reporting Module o per il server remoto CA EEM consente di registrare il nuovo server CA User Activity Reporting Module e di associarlo alla federazione.

Ulteriori informazioni:

Abilitare operazioni di modalità FIPS

(a pagina 89)

Visualizzare il dashboard di agente

(a pagina 91)

Considerazioni sull'installazione di sistemi con unità di SAN

Quando si installa il sistema operativo per l'applicazione CA User Activity

Reporting Module su un sistema con unità SAN, procedere con cautela per evitare che CA User Activity Reporting Module venga installato su una unità

SAN. Una installazione di questo tipo non verrà eseguita.

Selezionare uno dei seguenti approcci per garantire una corretta installazione:

■

Disattivare le unità SAN. installare il sistema operativo e l'applicazione CA

User Activity Reporting Module come di consueto. Quindi, configurare le unità SAN per CA User Activity Reporting Module e riavviare CA User

Activity Reporting Module per attivare la configurazione SAN.

■

Lasciare le unità SAN abilitate. Avviare l'installazione del sistema operativo.

Uscire dalla procedura per modificare la sequenza di operazioni definite nel file di kickstart. Riprendere il processo di installazione e completarlo come descritto.

94 Guida all'implementazione

Considerazioni sull'installazione di sistemi con unità di SAN

Installazione con unità SAN disabilitate

CA User Activity Reporting Module non è attualmente supportato tramite configurazioni hardware fisse fornite da Dell, IBM e HP. Il seguente esempio presuppone che l'hardware sia costituito da HP Blade Servers con una scheda

QLogic Fibre Channel per la connessione a una SAN per l'archiviazione dei dati.

HP Blade Servers è accompagnato dal disco rigido SATA configurato in RAID-1

(con mirroring).

Se si utilizza il file di avvio kickstart, disattivare le unità SAN prima di iniziare l'installazione. Avviare il processo di installazione con il DVD OS5 e completare l'installazione come documentato.

Nota: se l'installazione non viene avviata con l'unità SAN disabilitata, CA User

Activity Reporting Module viene installato sulla SAN. In questo caso, viene visualizzata una schermata con il messaggio codice operativo non valido dopo il riavvio di CA User Activity Reporting Module. utilizzare la seguente sequenza di procedure per installare un'applicazione CA

User Activity Reporting Module su un sistema con unità SAN in cui viene disattivata l'unità SAN prima di installare il sistema operativo.

1. Disattivare le unità SAN.

2. Installare il sistema operativo sull'applicazione.

3. Installare il server CA User Activity Reporting Module.

4. Impostare una configurazione con più percorsi per l'archiviazione SAN.

5. Creare un volume logico.

6. Preparare il volume logico per CA User Activity Reporting Module.

7. Riavviare CA User Activity Reporting Module.

8. Verificare l'esito dell'installazione.

Capitolo 3: Installazione di CA User Activity Reporting Module 95

Considerazioni sull'installazione di sistemi con unità di SAN

Durante l'installazione del sistema operativo con le unità SAN disabilitate, verranno utilizzati i seguenti file:

lvm.conf

File di configurazione per Linux Logical Volume Manager (LVM2).

multipath.conf (/etc/multipath.conf)

File di configurazione per più percorsi Linux.

fstab (/etc/fstab)

File di tabella del file system che esegue il mapping di dispositivi in directory di un sistema Linux.

Disattivazione delle unità SAN

Utilizzare le procedure consigliate dal fornitore dell'unità SAN per disattivare le unità SAN nel nuovo hardware su cui si desidera installare l'applicazione.

Disattivare le unità SAN prima di installare il sistema operativo dell'applicazione o l'applicazione CA User Activity Reporting Module.

Impostazione di una configurazione con più percorsi per l'archiviazione SAN

L'impostazione di una configurazione con più percorsi è richiesta per un sistema

CA User Activity Reporting Module installato su un sistema RAID che utilizza l'archiviazione SAN. I dischi fisici sulla SAN sono partizionati in spazi di archiviazione logica denominati LUN (numeri di unità logica).

Impostazione di una configurazione con più percorsi per l'archiviazione SAN

1. Accedere all'applicazione CA User Activity Reporting Module e spostarsi alla directory principale.

2. (Facoltativo) Visualizzare un elenco delle directory di /dev/mapper per visualizzare lo stato della configurazione prima di impostare percorsi multipli e volumi logici. Verranno visualizzati dei risultati simili ai seguenti: drwxr-xr-x 2 root root 120 Jun 18 12:09 . drwxr-xr-x 11 root root 3540 Jun 18 16:09 .. crw------- 1 root root 10, 63 Jun 18 12:09 control brw-rw---- 1 root disk 253, 0 Jun 18 16:09 VolGroup00-LogVol00 brw-rw---- 1 root disk 253, 2 Jun 18 12:09 VolGroup00-LogVol01 brw-rw---- 1 root disk 253, 1 Jun 18 16:09 VolGroup00-LogVol02

96 Guida all'implementazione

Considerazioni sull'installazione di sistemi con unità di SAN

3. Aprire il file .../etc/multipath.conf per la modifica e procedere come indicato di seguito: a. Aggiungere la seguente sezione sotto "device {" per ogni LUN fornito dall'amministratore della SAN: device { vendor "NETAPP" product "LUN" path_grouping_policy multibus features "1 queue_if_no_path" path_checker readsector0 path_selector "round-robin 0" failback immediate no_path_retry queue

} b. Rimuovere il commento dalla sezione "blacklist" per tutti i dispositivi. La sezione blacklist abilita percorsi multipli su periferiche predefinite. blacklist { devnode "^(ram|raw|loop|fd|md|dm-|sr|scd|st)[0-9]*" devnode "^hd[a-z]" devnode "^cciss!c[0-9]d[0-9]*"

} c. Salvare e chiudere il file multipath.conf.

4. Verificare che i percorsi siano attivi e che i LUN siano elencati per eseguire le seguenti operazioni: multipath -l

Nota: i percorsi vengono visualizzati come ‘mpath0’’ e ‘mpath1’. Se i LUN non vengono visualizzati, riavviare il computer e eseguire di nuovo i percorsi multipli.

5. Visualizzare le unità disponibili. fdisk -l

6. Elencare le partizioni disponibili e verificare che 'mpath0' e 'mpath1' siano nell'elenco. ls -la /dev/mapper

7. Mappare la prima partizione come segue: kpartx -a /dev/mapper/mpath0

8. Mappare la seconda partizione come segue: kpartx -a /dev/mapper/mpath1

Capitolo 3: Installazione di CA User Activity Reporting Module 97

Considerazioni sull'installazione di sistemi con unità di SAN

Creazione di un volume logico

È possibile utilizzare il software di gestione dei volumi per combinare più LUN in un volume logico per l'accesso di CA User Activity Reporting Module. Logical

Volume Manager (LVM) consente di gestire le unità disco e dispositivi di archiviazione di massa simili nel sistema operativo Linux. Le colonne di archiviazione creata in LVM possono essere ridimensionate o spostate in dispositivi backend come l'archiviazione SAN.

Per creare un volume logico

1. Creare il primo volume fisico: pvcreate /dev/mapper/mpath0

2. Creare il secondo volume fisico: pvcreate /dev/mapper/mpath1

3. Mostrare tutti i volumi fisici sul sistema: pvdisplay

4. Creare il gruppo volume VolGroup01 (il gruppo volume VolGroup00 esiste già). vgcreate VolGroup01 /dev/mapper/mpath0 /dev/mapper/mpath1

Nota: questo comando crea un volume e rende i due volumi fisici parte del gruppo.

5. Creare un volume logico nel volume gruppo: lvcreate –n LogVol00 –l 384030 VolGroup01

6. Creare un file system: mkfs –t ext3 /dev/VolGroup01/LogVol00

98 Guida all'implementazione

Considerazioni sull'installazione di sistemi con unità di SAN

Preparazione di un volume logico per CA User Activity Reporting Module

Dopo aver creato un volume logico, compilarlo con la struttura di directory prevista e assegnare la proprietà e le associazioni gruppo richieste da CA User

Activity Reporting Module. Utilizzare vi per modificare il file fstab per puntare a un volume logico creato e quindi montare la nuova directory dei dati.

Per preparare il volume logico per CA User Activity Reporting Module

1. Creare una directory temporanea, /data1, modificare la proprietà della directory /data1 a caelmservice e modificare il gruppo associato a questa directory in caelmservice: mkdir /data1 chown caelmservice /data1 chgrp caelmservice /data1

2. Interrompere i processi iGateway del server CA User Activity Reporting

Module:

/opt/CA/SharedComponents/iTechnology/S99igateway stop

3. Spostarsi alla directory in cui l'agente di CA User Activity Reporting Module

è in esecuzione, interrompere l'agente e verificare che i servizi non siano in esecuzione: cd /opt/CA/ELMAgent/bin/

./caelmagent –s ps –ef | grep /opt/CA

4. Passare alla directory / directory.

5. Montare il nuovo file system su /data1, copiare i contenuti della directory

/data nella directory /data1, e verificare che le due directory siano uguali: mount –t ext3 /dev/VolGroup01/LogVol00 /data1 cp –pR /data/* /data1 diff –qr /data /data1

6. Smontare il punto di montaggio dei dati esistente e quindi smontare il punto di montaggio di data1: umount /data umount /data1

7. Eliminare la directory /data e rinominare la directory /data1 in /data. rm –rf /data mv /data1 data

Capitolo 3: Installazione di CA User Activity Reporting Module 99

Considerazioni sull'installazione di sistemi con unità di SAN

8. Modificare la riga in /etc/fstab che fa riferimento alla directory /data e puntarla al nuovo volume logico. Quindi, modificare

/dev/VolGroup00/LogVol02 in /dev/VolGroup01/LogVol00. I dati modificati vengono indicati in grassetto nel seguente rendering di un file fstab campione.

nome della periferica

nessuno

punto di montaggio

/dev/VolGroup00/LogVol00/ nessuno /dev/VolGroup01/LogVol00/data

LABEL=/boot /boot tmpfs /dev/shm

fs-type

ext3 ext3 ext3 tmpfs

Opzioni dump-freq pass-num

valori predefiniti 1 1 valori predefiniti valori predefiniti valori predefiniti

1 2

0 0 devpts sysfs l'indirizzo nessuno

/dev/pts

/sys

/proc

/dev/VolGroup00/LogVol01 devpts gid=5,mode=620 0 0 sysfs valori predefiniti 0 0 l'indirizzo valori predefiniti 0 0 swap valori predefiniti 0 0

9. Montare la nuova directory dei dati e verificare che tutte le partizioni in

/etc/fstab siano montate: mount -a montaggio

Riavvio del server CA User Activity Reporting Module

Dopo aver creato un volume logico, riavviare CA User Activity Reporting Module in modo che sia possibile utilizzare il volume logico. Per verificare l'esito dell'operazione, passare a CA User Activity Reporting Module e visualizzare gli eventi restituiti dalla query Dettagli relativi a tutti gli eventi di sistema.

Per riavviare il server CA User Activity Reporting Module

1. Avviare i processi iGateway del server CA User Activity Reporting Module:

/opt/CA/SharedComponents/iTechnology/S99igateway start

2. Avviare il servizio ELMAgent.

/opt/CA/ELMAgent/bin/caelmagent –b

3. Riavviare il server CA User Activity Reporting Module.

100 Guida all'implementazione

Considerazioni sull'installazione di sistemi con unità di SAN

Installazione con unità SAN abilitate

L'argomento Esempio: Impostazione dell'archiviazione SAN per CA User Activity

Reporting Module include il suggerimento per disattivare le unità SAN (LUN) prima di installare il sistema operativo sull'applicazione CA User Activity

Reporting Module.

Un'alternativa è lasciare le unità SAN abilitate modificando il file di kickstart, caelm-ks.cfg, con uno strumento di modifica ISO dopo l'avvio del sistema operativo. La modifica consente di verificare che l'installazione e l'avvio vengono eseguiti dal disco rigido locale, non dalla SAN.

Per avviare il sistema dal disco locale (SAN)

1. Avviare il server con il DVD di installazione del sistema operativo

2. Rispondere al primo prompt sul tipo di tastiera.

3. Premere Alt-F2 per visualizzare il prompt Anaconda/Kickstart.

4. Digitare la seguente stringa: list-hardrives

Viene visualizzato l'elenco di unità disponibili, in cui l'elenco è simile a quello illustrato di seguito: cciss/c0d0 – 68GB RAID 1 (cciss è HP Smart Array)

Sda – 500GB SAN (sda – h è SAN Multipathed)

Sdb – 500GB SAN

Sdc – 500GB SAN

Sdd – 500GB SAN

Sde – 500GB SAN

Sdf – 500GB SAN

Sdg – 500GB SAN

Sdh – 500GB SAN

5. Identificare il disco rigido locale. In questo caso, si tratta di cciss/c0d0.

Capitolo 3: Installazione di CA User Activity Reporting Module 101

Configurazioni server CA User Activity Reporting Module iniziali

6. Procedere come segue: a. Aprire il file di kickstart del sistema operativo di CA User Activity

Reporting Module, ca-elm-ks.cfg, per la modifica. utilizzare un editor

ISO. b. Individuare la seguente riga da modificare: bootloader --location=mbr --driveorder=sda,sdb

Modificarla in: bootloader --location=mbr --driveorder=cciss/c0d0

Questa modifica specifica l'avvio solo dal disco locale. c. Individuare le seguenti righe da modificare: clearpart --all --initlabel part /boot --fstype "ext3" --size=100 part pv.4 --size=0 –grow

Modificare queste righe come di seguito: part /boot --fstype "ext3" --size=100 --ondisk cciss/c0d0 part pv.4 --size=0 --grow --ondisk cciss/c0d0

Questa modifica alle righe di definizione delle partizioni consente di garantire che le partizioni vengano create per nome sul disco cciss/c0d0. Utilizzando --ondisk, vengono sostituite le variabili $disk1 e

$disk2 esistenti. d. In caso fosse necessario, rimuovere la clausola IF/When per il numero di unità disco, mantenendo solo il primo insieme di comandi del disco

(righe 57 - 65). e. Salvare la nuova immagine ISO.

7. uscire dal prompt Anaconda per tornare ai prompt di installazione del sistema operativo.

8. Continuare l'installazione utilizzando le procedure indicate.

Configurazioni server CA User Activity Reporting Module iniziali

L'installazione del primo server CA User Activity Reporting Module crea un nome applicazione il cui valore predefinito è CAELM. L'installazione registra questo nome con il server CA EEM incorporato. Quando installazioni successive utilizzano lo stesso nome dell'istanza dell'applicazione, il server di gestione CA

User Activity Reporting Module gestisce tutte le configurazioni con lo stesso nome dell'istanza dell'applicazione.

102 Guida all'implementazione

Configurazioni server CA User Activity Reporting Module iniziali

Al termine dell'installazione, il server sarà dotato sia di un sistema operativo che di un server CA User Activity Reporting Module. Il sistema operativo a 32 bit supporta sia hardware a 32 che a 64 bit. Le configurazioni iniziali includono le seguenti aree:

■

Account utente predefinito

■

Struttura directory predefinita

■

Immagine personalizzata del sistema operativo

■

Assegnazioni delle porte predefinite

Account utente predefinito

L'installazione di CA User Activity Reporting Module crea un utente amministratore predefinito, caelmadmin, che dispone della propria password.

Quando è necessario effettuare l'accesso diretto al server host, è necessario utilizzare questo account per accedere, perché la possibilità di accesso dell'account dell'utente principale viene limitata dopo l'installazione. L'account caelmadmin permette solo un'azione di accesso. Da questo punto è necessario commutare gli utenti all'account dell'utente principale utilizzando la sua password separata per accedere alle utilità di amministrazione a livello del SO.

La password predefinita per questo account è la stessa password creata per l'account EiamAdmin. Si consiglia di modificare la password dell'account caelmadmin subito dopo l'installazione.

L'installazione crea anche un account predefinito di utente di servizio, caelmservice, che non è possibile utilizzare per accedere al sistema. È possibile commutare gli utenti a questo utente per avviare e interrompere i processi, se necessario. Il processo iGateway e il server CA EEM incorporato (se è presente uno installato sul server CA User Activity Reporting Module) vengono eseguiti da questo account utente per fornire livelli aggiuntivi di sicurezza.

Il processo iGateway non viene eseguito nell'account dell'utente principale.

L'inoltro delle porte viene abilitato automaticamente per consentire le richieste

HTTPS sulle porte 80 e 443 per accedere all'interfaccia utente di CA User Activity

Reporting Module, oltre alla porta 5250.

Capitolo 3: Installazione di CA User Activity Reporting Module 103

Configurazioni server CA User Activity Reporting Module iniziali

Struttura directory predefinita

L'installazione di CA User Activity Reporting Module posiziona file binari del software nella struttura della directory /opt/CA. Se il sistema ha una seconda unità disco, viene configurata come /data. L'installazione crea un collegamento simbolico dalla directory /opt/CA/LogManager/data alla directory /data. Quanto segue rappresenta la struttura della directory di installazione predefinita:

Tipi di file

File relativi ad iTechnology (iGateway)

Directory

/opt/CA/SharedComponents/iTechnology

/opt/CA/LogManager/EEM File relativi al server CA User Activity Reporting

Module EEM

File relativi all'installazione di CA User Activity

Reporting Module

File di dati (collegamenti a /data in caso di unità diverse)

File registro

/opt/CA/LogManager/install

/opt/CA/LogManager/data

/opt/CA/SharedComponents/iTechnology

In circostanze normali, non è necessario accedere all'utilità ssh sul server CA

User Activity Reporting Module, eccetto per spostare file di archivi per il backup e l'archiviazione a lungo termine e per aggiungere unità disco.

Immagine personalizzata del sistema operativo

Il processo di installazione personalizza il sistema operativo creando un'immagine minima e limitando l'accesso al minor numero di canali possibile. I servizi non essenziali non vengono installati. Il server CA User Activity Reporting

Module è in ascolto su un numero ristretto di porte e chiude automaticamente le porte non utilizzate.

Durante l'installazione del sistema operativo, si crea una password per l'account dell'utente principale. Al termine dell'installazione di CA User Activity Reporting

Module, l'utente principale è limitato in modo da non permettere login successivi. L'installazione di CA User Activity Reporting Module crea un utente predefinito, caelmadmin, che dispone solo di possibilità di accesso e di nessun'altra autorizzazione.

104 Guida all'implementazione

Configurazioni server CA User Activity Reporting Module iniziali

Per accesso a livello principale al server CA User Activity Reporting Module, è possibile accedere al server con questo account e passare all'account dell'utente principale per l'utilizzo degli strumenti di amministrazione. Ciò significa che si dovrà conoscere la password sia di caelmadmin che di root per avere accesso al sistema come utente principale.

Con CA User Activity Reporting Module non viene installato nessun altro software specifico relativo alla sicurezza. Per mantenere prestazioni elevate, non installare altre applicazioni sul server CA User Activity Reporting Module.

Assegnazioni delle porte predefinite

Il server CA User Activity Reporting Module è configurato per impostazione predefinita per l'ascolto sulla porta 5250 e sulle porte 80 e 443 utilizzando il protocollo HTTPS. Le procedure e i daemon CA User Activity Reporting Module non vengono eseguiti nell'account root, quindi non possono aprire porte inferiori alla porta 1024. Di conseguenza, l'installazione crea automaticamente un reindirizzamento (attraverso iptables) alla porta 5250 per le richieste dell'interfaccia utente sulle porte 80 e 443.

Il daemon syslog del sistema operativo locale del server CA User Activity

Reporting Module non è configurato, poiché CA User Activity Reporting Module utilizza i propri eventi di automonitoraggio per tracciare lo stato del sistema. È possibile visualizzare altri eventi locali e rapporti sulle azioni intraprese sul server CA User Activity Reporting Module locale utilizzando eventi di automonitoraggio.

Di seguito si trova un elenco di porte utilizzate dall'ambiente CA User Activity

Reporting Module:

Porta

Componente Descrizione

Server CA User Activity

Reporting Module

La porta TCP/UDP che deve essere disponibile per le comunicazioni DNS per risolvere i nomi host negli indirizzi IP dei server come i server CA User Activity Reporting Module, il server remoto CA EEM, se configurato, e il server NTP se è stata selezionata la sincronizzazione con l'ora NTP al momento dell'installazione. Le comunicazioni DNS non sono necessarie se i nomi host sono stati mappati negli indirizzi IP nel file

/etc/hosts locale.

Capitolo 3: Installazione di CA User Activity Reporting Module 105

Configurazioni server CA User Activity Reporting Module iniziali

Porta

111

443

514

1468

2123

5250

6789

17001

Componente Descrizione

Server CA User Activity

Reporting Module

Portmapper (SAPI)

Comunicazioni TCP con l'interfaccia utente del server CA User

Activity Reporting Module attraverso HTTPS; ridirezionamento automatico alla porta 5250

Comunicazioni client di controllo con il processo PortMapper per ricevere assegnazioni delle porte dinamiche

Server CA User Activity

Reporting Module

Comunicazioni TCP con l'interfaccia utente del server CA User

Activity Reporting Module attraverso HTTPS; ridirezionamento automatico alla porta 5250

Syslog Porta di ascolto UDP predefinita di syslog; il valore di questa porta può essere configurato

Affinché l'agente predefinito venga eseguito come utente non di root, la porta predefinita è impostata su 40514 e l'installazione applica una regola di firewall al server CA User

Activity Reporting Module.

Syslog

DXadmin

Porta di ascolto TCP predefinita di syslog; il valore di questa porta può essere configurato

Porta DXadmin LDAP di CA Directory, se viene utilizzato un server CA EEM sullo stesso server fisico del server CA User

Activity Reporting Module (il server di gestione).

Server CA User Activity

Reporting Module

Comunicazioni TCP con l'interfaccia utente del server CA User

Activity Reporting Module utilizzando iGateway

Comunicazioni TCP tra:

Agente

■

Server CA User Activity Reporting Module e server CA EEM

Server CA User Activity Reporting Module federati

■ Agente e server CA User Activity Reporting Module per aggiornamenti dello stato

Porta di ascolto di comando e controllo dell'agente

Nota: se non si consente il traffico in uscita, sarà necessario aprire questa porta per consentire il funzionamento corretto.

Agente Porta TPC per comunicazioni sicure tra agente e server CA User

Activity Reporting Module; il valore di questa porta può essere configurato

Nota: se non si consente il traffico in uscita, sarà necessario aprire questa porta per consentire il funzionamento corretto.

106 Guida all'implementazione

Configurazioni server CA User Activity Reporting Module iniziali

Porta

17002

17003

17200

17201 casuale

Componente Descrizione

ODBC/JDBC

Agente

Porta TCP predefinita utilizzata per le comunicazioni tra i driver

ODBC o JDBC e il deposito eventi di log di CA User Activity

Reporting Module.

Porta TCP usata per le comunicazioni dal bus messaggi Qpid per gli agenti r12.1.

Dispatcher listener SME Porta TCP usata per il servizio Dispatcher sull'host locale dell'agente per l'ascolto degli eventi di automonitoraggio tra i processi dell'agente.

Dispatcher listener eventi

SAPI

Porta TCP usata per il servizio Dispatcher sull'host locale dell'agente per l'ascolto degli eventi tra i processi dell'agente.

Porte UDP per la raccolta eventi assegnate dalla mappatura delle porte; è possibile configurare il router e il collector SAPI per utilizzare qualsiasi valore di porta fisso superiore a 1024

Elenco dei processi correlati

La seguente tabella rappresenta un elenco dei processi eseguiti come parte di un'implementazione CA User Activity Reporting Module. L'elenco non include processi di sistema relativi al sistema operativo sottostante.

Process Name

caelmagent

Porta predefinita

6789, 17001 caelmconnector caelmdispatcher caelmwatchdog

Dipende da ciò che ascolta o a cui si connette.

Nessuno

Descrizione

Questo è il processo dell'agente CA User Activity

Reporting Module.

Questo è il processo del connettore CA User

Activity Reporting Module. Sarà presente un altro processo del connettore separato in esecuzione per ogni connettore configurato su un agente.

Questo processo CA User Activity Reporting

Module gestisce l'invio di eventi e le informazioni sullo stato tra il connettore e l'agente.

Il processo di controllo di CA User Activity

Reporting Module che esegue il monitoraggio di altri processi per garantire la continuità delle operazioni.

Capitolo 3: Installazione di CA User Activity Reporting Module 107

Configurazioni server CA User Activity Reporting Module iniziali

Process Name

caelm-agentmanager caelm-alerting caelm-correlation caelm-eemsessionsponsor caelm-incidentservice caelm-logdepot caelm-queryservice caelm-reporter

Porta predefinita

17001

Descrizione

Questo processo di CA User Activity Reporting

Module gestisce le attività di gestione dell'agente quali lo stato e la sottoscrizione.

Questo processo di CA User Activity Reporting

Module gestisce i messaggi di avviso inviati mediante posta elettronica, IT PAM e trap

SNMP.

Questo processo di CA User Activity Reporting

Module gestisce le regole di correlazione mediante la comunicazione con il servizio di correlazione in caso di attivazione delle regole di correlazione.

Il processo principale di CA EEM che gestisce tutte le comunicazioni verso CA EEM per gli sponsor locali in esecuzione in safetynet sul server CA User Activity Reporting Module.

Questo processo può essere eseguito in safetynet.

Questo processo di CA User Activity Reporting

Module gestisce la generazione degli incidenti e la configurazione della registrazione mediante la gestione delle informazioni provenienti dal servizio di correlazione in caso di attivazione di una regola di correlazione.

Il processo di archiviazione del log eventi CA

User Activity Reporting Module che gestisce l'archiviazione di eventi, la creazione di file di archiviazione e altre funzioni.

Questo processo può essere eseguito in safetynet.

Questo processo di CA User Activity Reporting

Module viene utilizzato per la configurazione e la gestione delle query.

Questo processo di CA User Activity Reporting

Module viene utilizzato per la configurazione e la gestione dei rapporti pianificati, delle esportazioni dei rapporti e degli avvisi.

108 Guida all'implementazione

Process Name

caelm-ruletest caelm-sapicollector caelm-sapirouter caelm-systemstatus dxadmind dxserver igateway broker messaggi oaserver safetynet ssld

Configurazioni server CA User Activity Reporting Module iniziali

Porta predefinita

5250

17002

Descrizione

Questo processo di CA User Activity Reporting

Module gestisce i test della regola eseguiti ad hoc.

Il processo del servizio Collector SAPI.

Questo processo può essere eseguito in safetynet.

Il processo del servizio router SAPI.

Questo processo può essere eseguito in safetynet.

Questo processo raccoglie lo stato del sistema per la visualizzazione nell'interfaccia utente CA

User Activity Reporting Module.

Questo processo può essere eseguito in safetynet.

Processo di CA Directory eseguito su un server su cui è installato CA EEM.

Processo principale CA User Activity Reporting

Module; deve essere in esecuzione per raccogliere e archiviare eventi.

Processo di CA User Activity Reporting Module che comunica tra l'agente e il server CA User

Activity Reporting Module per l'invio di eventi.

Processo di CA User Activity Reporting Module eseguito per gestire l'elaborazione lato server delle richieste ODBC e JDBC per l'accesso all'archivio del log eventi.

Framework del processo CA User Activity

Reporting Module eseguito per garantire la continuità delle operazioni.

Processo di CA Directory eseguito su un server su cui è installato CA EEM.

Capitolo 3: Installazione di CA User Activity Reporting Module 109

Configurazioni server CA User Activity Reporting Module iniziali

Protezione avanzata del sistema operativo

il dispositivo software CA User Activity Reporting Module contiene una copia semplice e avanzata del sistema operativo Red Hat Linux. Le seguenti tecniche di protezione avanzata sono valide nei seguenti casi::

■

Accesso a SSH in quanto l'utente root è disabilitato.

■ utilizzare la sequenza di tasti Ctrl-Alt-Canc per riavviare il server dalla console senza la registrazione disabilitata.

■

I reindirizzamenti vengono applicati in tabelle ip per le seguenti porte:

–

Porte TCP 80 e 443 reindirizzate a 5250

–

Porta UDP 514 reindirizzata a 40514

■

Il pacchetto GRUB è protetto da password.

L'installazione aggiunge i seguenti utenti con privilegi minimi:

– caelmadmin - un account del sistema operativo con diritti di accesso alla console del server CA User Activity Reporting Module

– caelmservice - account del servizio con cui iGateway e i processi dell'agente vengono eseguiti; non è possibile accedere direttamente con questo account

Reindirizzamento delle porte del firewall per gli eventi syslog

È possibile reindirizzare il traffico delle porte standard su altre porte se si sta utilizzando un firewall tra un agente e il server CA User Activity Reporting

Module.

Le migliori prassi di sicurezza dettano i privilegi utente minimi per eseguire i processi delle applicazioni e i daemon. I daemon UNIX e Linux in esecuzione negli account non principali non possono aprire porte inferiori alla 1024. La porta syslog UDP syslog è la 514. Ciò può rappresentare un problema per periferiche come router e switch che non possono utilizzare porte non standard.

Per risolvere questo problema, è possibile configurare il firewall per l'ascolto del traffico in ingresso sulla porta 514 e l'invio al server CA User Activity Reporting

Module su una porta diversa. Il reindirizzamento avviene sullo stesso host del listener syslog. Selezionando di utilizzare una porta non standard implica che si dovrà riconfigurare ogni fonte di evento affinché invii i propri eventi a tale porta.

110 Guida all'implementazione

Installazione del client ODBC

Per reindirizzare il traffico degli eventi attraverso un firewall

1. Effettuare l'accesso come utente principale.

2. Accedere a un prompt dei comandi.

3. Immettere un comando per reindirizzare le porte per il firewall specifico.

Un esempio delle immissioni da riga di comando per lo strumento di filtraggio del pacchetto netfilter/iptables in esecuzione su un sistema operativo Red Hat Linux assomiglia a quanto segue: chkconfig --level 345 iptables on iptables -t nat -A PREROUTING -p udp --dport 514 -j REDIRECT --to

<nuovaporta> service iptables save

4. Sostituire il valore della variabile <nuovaporta> con un numero di porta disponibile superiore a 1024.

Per altre implementazioni, fare riferimento alle istruzioni per la gestione delle porte fornite dal produttore del firewall.

Installazione del client ODBC

L'installazione di un client ODBC sui sistemi Windows comprende i seguenti passaggi:

1. Verificare di disporre dei permessi necessari e ottenere un codice licenza per il driver del client ODBC (prerequisiti).

2. Installazione del client ODBC

3. Creare un'origine dati tramite l'utilità Windows Data Source (ODBC).

4. Configurare i dettagli di connessione per il client ODBC.

5. Verificare la connessione al database.

Prerequisiti

L'accesso di ODBC all'archivio registro eventi è disponibile solo in CA User

Activity Reporting Module r12.1 e versioni successive. Consultare le osservazioni sull'origine dati ODBC per le informazioni necessarie prima di iniziare l'installazione.

Capitolo 3: Installazione di CA User Activity Reporting Module 111

Installazione del client ODBC

Gli utenti di questa funzione devono appartenere a un gruppo di utenti con il privilegio dataaccess nel criterio predefinito di accesso ai dati (nel criteri di accesso di CALM). Consultare la Guida all'amministrazione di CA User Activity

Reporting Module r12.1 per ulteriori informazioni sui criteri di accesso.

Per un client ODBC, trovano applicazione i seguenti prerequisiti:

■

È necessario disporre dei privilegi di amministratore per installare il client

ODBC su un server Windows.

■

L'installazione del client ODBC richiede il servizio Installer di Microsoft

Windows e visualizza un messaggio se non viene individuato.

■

Configurare il servizio server ODBC in CA User Activity Reporting Module, assicurandosi di aver selezionato la casella di controllo Abilita servizio

■

Configurare un'origine dati ODBC per i sistemi Windows usando l'utilità

Origini dati (ODBC) nel Pannello di controllo.

■

È necessario disporre dei diritti per la creazione di file nella directory in cui si desidera installare il client su sistemi UNIX e Linux.

Consultare la matrice di certificazione del supporto di CA User Activity Reporting

Module all'indirizzo http://www.ca.com/Support per informazioni sulle piattaforme specifiche supportate per l'uso con la funzione ODBC e JDBC.

Configurazione del servizio server ODBC

Con questa procedura è possibile configurare l'accesso ODBC e JDBC all'archivio registro eventi di CA User Activity Reporting Module .

Per configurare l'accesso ODBC e JDBC

1. Accedere al server CA User Activity Reporting Module come utente amministratore.

2. Accedere alla scheda Amministrazione, quindi fare clic sulla sottoscheda

Servizi.

112 Guida all'implementazione

Installazione del client ODBC

3. Fare clic sul servizio server ODBC per aprire le impostazioni globali o espandere il nodo e selezionare un server CA User Activity Reporting

Module specifico.

4. Impostare il valore della porta per il campo Porta servizio, se si decide di utilizzare una porta diversa dal valore predefinito.

5. Specificare se si desidera attivare la connessione SSL per crittografare il trasporto dati tra il client ODBC e il server CA User Activity Reporting

Module.

Nota: le impostazioni della porta del servizio e di abilitazione SSL devono corrispondere sia sul server che sul client ODBC. Il valore predefinito per la porta è 17002 e la crittografia SSL è abilitata. Se queste impostazioni non corrispondono alle impostazioni del client ODBC, i tentativi di connessione non riescono.

Installazione del client ODBC su sistemi Windows

Utilizzare questa procedura per installare il client ODBC su un sistema Windows.

Nota: per installare il client ODBC, è necessario un account amministratore di

Windows.

Per installare il client ODBC

1. Individuare la directory del client ODBC nella directory \CA\ELM\ODBC del

DVD o dell'immagine di installazione.

2. Fare doppio clic sull'applicazione setup.exe.

3. Rispondere al contratto di licenza e fare clic su Avanti.

Verrà visualizzata la pagina Scegli percorso di destinazione.

4. Inserire un percorso di destinazione o accettare il percorso predefinito e fare clic su Avanti.

Verrà visualizzata la finestra di dialogo Seleziona cartella programmi.

5. Selezionare una cartella programmi o accettare la selezione predefinita e fare clic su Avanti.

Verrà visualizzata la finestra Avvia copia dei file.

Capitolo 3: Installazione di CA User Activity Reporting Module 113

Installazione del client ODBC

6. Fare clic su Avanti per iniziare la copia dei file.

La finestra di dialogo Stato dell'installazione mostra lo stato di avanzamento dell'installazione. Una volta copiati i file, verrà visualizzato il riquadro

InstallShield di completamento della procedura.

7. Fare clic su Fine per completare l'installazione.

Creazione di un'origine dati ODBC su sistemi Windows

Utilizzare questa procedura per creare l'origine dati ODBC necessaria sui sistemi

Windows. È possibile creare l'origine dati come DSN utente o DSN di sistema.

Creazione dell'origine dati

1. Accedere al Pannello di controllo di Windows e aprire gli Strumenti di amministrazione.

2. Fare doppio clic sull'utilità Origini dati (ODBC). Verrà visualizzata la finestra di dialogo Amministratore origine dati ODBC:

3. Fare clic su Aggiungi per visualizzare la finestra Crea nuova origine dati.

4. Selezionare la voce Driver ODBC CA User Activity Reporting Module e fare clic su Fine.

Verrà visualizzatala finestra Impostazione driver ODBC di CA User Activity

Reporting Module.

5. Inserire i valori dei campi come descritto nella sezione delle considerazioni sull'origine dati ODBC e fare clic su OK.

Considerazioni sull'origine dati ODBC

Seguono le descrizioni dei campi origine dati di ODBC relativi a CA User Activity

Reporting Module:

Nome origine dati

Creare un nome per questa origine dati. Le applicazioni client che intendono utilizzare questi dati usano questo nome per connettersi all'origine dati.

Host di servizio

Specifica il nome del server CA User Activity Reporting Module a cui si connette il client. È possibile utilizzare sia un nome di host che un indirizzo

IPv4.

114 Guida all'implementazione

Installazione del client ODBC

Porta di servizio

Specifica la porta di servizio TCP su cui il server CA User Activity Reporting

Module è in ascolto per le connessioni dei client ODBC. Il valore predefinito

è 17002. Il valore impostato deve corrispondere all'impostazione del servizio Server ODBC. In caso contrario, si verificherà un errore di connessione.

Origine dati di servizio

Lasciare vuoto questo campo; in caso contrario, si verificherà un errore di connessione.

Crittografia SSL

Indica se utilizzare la crittografia per le comunicazioni fra il client ed il server

CA User Activity Reporting Module. Il valore predefinito abilita la crittografia

SSL. Il valore impostato deve corrispondere all'impostazione del servizio

Server ODBC. In caso contrario, si verificherà un errore di connessione.

Proprietà personalizzate

Specifica le proprietà di connessione da utilizzare con l'archivio registro eventi. Il delimitatore delle proprietà è un punto e virgola senza spazi. I valori predefiniti consigliati sono i seguenti:

querytimeout

Indica il valore di timeout in secondi in assenza di dati restituiti, allo scadere del quale la query verrà chiusa. Segue la sintassi per questa proprietà: querytimeout=300

queryfederated

Specifica se eseguire una query federata. Impostando questo valore su false, verrà eseguita una query solo sul server CA User Activity

Reporting Module al quale viene eseguita la connessione di database.

Segue la sintassi per questa proprietà: queryfederated=true

queryfetchrows

Specifica il numero di righe da recuperare in una singola operazione, nel caso in cui la query abbia successo. Il valore minimo è 1 ed il massimo è

5000. Il valore predefinito è 1000. Segue la sintassi per questa proprietà: queryfetchrows=1000

Capitolo 3: Installazione di CA User Activity Reporting Module 115

Installazione del client ODBC

offsetmins

Specifica l'offset del fuso orario di questo client ODBC. Un valore pari a

0 utilizza il GMT. È possibile utilizzare questo campo per impostare il proprio offset di fuso orario rispetto al GMT. Segue la sintassi per questa proprietà: offsetmins=0

suppressNoncriticalErrors

Indica il comportamento del provider di interfaccia in caso di errori non critici, ad esempio un database o un host che non rispondono.

Segue la sintassi per questa proprietà: suppressNoncriticalErrors=false

Verifica della connessione del client ODBC al database

Il client ODBC è installato con uno strumento interattivo SQL Query della riga di comando, ISQL. È possibile utilizzare questo strumento per verificare le impostazioni di configurazione e la connettività tra il client ODBC e il deposito eventi di log di CA User Activity Reporting Module.

Verifica della connessione del client al database

1. Aprire il prompt dei comandi e accedere alla directory dove è installato il client ODBC.

2. Avviare l'utilità ISQL, odbcisql.exe.

3. Inserire il seguente comando per verificare la connessione del client al database: collegare User*Password@DSN_name

Usare il nome dell'origine dati creata per questa connessione ODBC al database per il valore DSN_name. Se i parametri della connessione sono corretti, viene restituito un messaggio simile al seguente:

SQL: connessione al database in corso: DSN_name

Tempo trascorso 37 ms.

Nota: se la password contiene il simbolo @, l'utilità iSQL non verrà eseguita correttamente e leggerà qualsiasi elemento dopo il simbolo "@"come nome

DSN. Per evitare questo problema, immettere la password tra virgolette:

Connect User*"Password"@DSN_name

116 Guida all'implementazione

Installazione del client JDBC

Verifica del recupero del server dal database

Usare questa query di verifica per stabilire se un'applicazione client ODBC è in grado di recuperare i dati da un archivio di registro eventi di CA User Activity

Reporting Module che utilizza la connessione stabilita con il database. Questa procedura sfrutta la stessa utilità ISQL utilizzata per verificare la connessione

ODBC.

Nota: non copiare e utilizzare le query SQL fornite nelle query e nei rapporti di

CA User Activity Reporting Module per verificare la connessione ODBC. Tali istruzioni SQL devono essere utilizzate solamente dal server CA User Activity

Reporting Module con l'archivio di registri eventi. Creare le query SQL ODBC usando le strutture standard secondo lo standard SQL ANSI.

Per verificare il recupero dati del componente server

1. Aprire il prompt dei comandi e accedere alla directory dove è installato il client ODBC.

2. Avviare l'utilità ISQL, odbcisql.exe.

3. Inserire la seguente istruzione SELECT per verificare il recupero dall'archivio registro eventi: select top 5 event_logname, receiver_hostname, SUM(event_count) as Count from view_event where event_time_gmt < now() and event_time_gmt > timestampadd(mi,-15,now()) GROUP BY receiver_hostname, event_logname;

Installazione del client JDBC

Il client JDBC fornisce l'accesso JDBC attraverso qualsiasi applet, applicazione o server applicazioni Java. Fornisce l'accesso n-tier e point-to-point ad alte prestazioni alle origini dati. Il client è ottimizzato per l'ambiente Java e permette di incorporare la tecnologia Java ed estendere le funzionalità e le prestazioni del sistema esistente.

Il client JDBC viene eseguito su piattaforme a 32 bit e 64 bit. Non è necessario modificare le applicazioni esistenti per consentirne l'esecuzione su piattaforme a 64 bit.

L'installazione del client JDBC comprende i seguenti passaggi:

1. Assicurarsi che sia installato e funzionante un server per applicazioni Web con funzionalità di configurazione del pool di connessione.

2. Ottenere il codice licenza per il driver del client JDBC.

Capitolo 3: Installazione di CA User Activity Reporting Module 117

Installazione del client JDBC

3. Installazione del client JDBC

4. Configurare la connessione al database usando le funzioni di gestione del pool di connessione del server delle applicazioni Web.

5. Verificare la connessione al database.

Prerequisiti del client JDBC

L'accesso di JDBC al deposito eventi di log è disponibile solo in CA User Activity

Reporting Module r12.1 e versioni successive. È possibile installare il client JDBC su sistemi Windows e UNIX.

Gli utenti di questa funzione devono appartenere a un gruppo di utenti CA User

Activity Reporting Module con il privilegio dataaccess nel criterio predefinito di accesso ai dati (nel criteri di accesso di CALM). Consultare la Guida

all'amministrazione di CA User Activity Reporting Module r12.1 per ulteriori informazioni sui criteri di accesso.

Per un client JDBC, trovano applicazione i seguenti prerequisiti:

■

È necessario disporre dei privilegi di amministratore per installare il client

JDBC su un server Windows.

■

Verificare che, nella finestra di configurazione del server ODBC, sia selezionata (attivata) la casella di controllo Attiva servizio

■

È necessario disporre dei diritti per la creazione di file nella directory in cui si desidera installare il client su sistemi UNIX e Linux.

■

Per le applicazioni eseguite in J2SE v 1.4.2.x, impostare le connessioni al database a livello di codice, come definito in una applicazione specifica.

■

Per le applicazioni eseguite in J2EE 1.4.2.x e versioni successive, utilizzare un server di applicazioni Web come Oracle WebLogic o Red Hat JBoss per configurare la gestione del pool di connessione.

Consultare la matrice di certificazione del supporto di CA User Activity Reporting

Module all'indirizzo http://www.ca.com/Support per informazioni sulle piattaforme specifiche supportate per l'uso con la funzione ODBC e JDBC.

118 Guida all'implementazione

Installazione del client JDBC

Installazione del client JDBC su sistemi Windows

Utilizzare questa procedura per installare il client JDBC su un sistema Windows.

Per installare il driver JDBC

1. Individuare i due file .jar seguenti nel DVD o nell'immagine di installazione dell'applicazione nella directory CA/ELM/JDBC:

LMjc.jar

LMssl14.jar

2. Copiare i file .jar nella directory desiderata sul server di destinazione e annotare il percorso.

Installazione del client JDBC su sistemi UNIX

Utilizzare questa procedura per installare il client JDBC su un sistema UNIX.

Installazione del client JDBC

1. Individuare i due file .jar seguenti nella directory CA/ELM/JDBC del DVD o dell'immagine di installazione dell'applicazione:

LMjc.jar

LMssl14.jar

2. Copiare i file .jar nella directory desiderata sul server di destinazione e annotare il percorso.

3. Eseguire il seguente comando (o uno simile) manualmente dalla directory di installazione dopo aver installato il client JDBC per JDBC su UNIX: chmod -R ugo+x file_location

Il valore di file_location corrisponde alla directory in cui è stato installato il client JDBC. Questo passaggio consente di eseguire gli script di shell forniti con il client installato.

Capitolo 3: Installazione di CA User Activity Reporting Module 119

Installazione del client JDBC

Parametri della connessione JDBC

Varie applicazioni richiedono determinati parametri di connessione per utilizzare il driver del client JDBC. I parametri abituali comprendono quanto segue:

■

Stringa di connessione o URL connessione

■

Nome di classe

La stringa di connessione JDBC (URL) presenta il seguente formato: jdbc:ca-elm://[CA-ELM_host_name]:[ODBC/JDBCport];ServerDataSource=Default;

Il nome della classe del driver JDBC è: com.ca.jdbc.openaccess.OpenAccessDriver

Considerazioni sull'URL JDBC

Quando si utilizza il client JDBC per accedere ai dati evento archiviati in CA User

Activity Reporting Module, sono necessari sia il classpath che l'URL JDBC. Il

Classpath JDBC indica il percorso dei file JAR del driver. L'URL JDBC definisce i parametri utilizzati dalle classi dei file JAR durante il caricamento.

Segue un completo URL JDBC campione: jdbc:caelm://127.0.0.1:17002;encrypted=1;ServerDataSource=Default;CustomProperties=(querytimeout=600;que ryfederated=true;queryfetchrows=1000;offsetmins=0;suppressNoncriticalErrors=false)

Di seguito sono descritti i componenti dell'URL:

jdbc.ca-elm:

Definisce la stringa protocol:subprotocol che indica il driver JDBC fornito con

CA User Activity Reporting Module.

//IP Address:Port;

Indica l'indirizzo IP che rappresenta il server CA User Activity Reporting

Module contenente i dati ai quali si desidera accedere. Il numero di porta è la porta da utilizzare per le comunicazioni e deve corrispondere all'impostazione configurata nel riquadro Servizio ODBC di CA User Activity

Reporting Module. Se le porte non trovano corrispondenza, si verificherà un errore nel tentativo di connessione.

120 Guida all'implementazione

Risoluzione di problemi dell'installazione

encrypted=0|1;

Stabilisce se si utilizza la crittografia SSL per le comunicazioni tra il client

JDBC ed il server CA User Activity Reporting Module. Il valore predefinito è

0, non crittografato, e non è necessario specificarlo nell'URL. L'impostazione encrypted=1 consente di attivare la crittografia. Impostare la connessione sulla crittografia in modo esplicito. Inoltre, tale impostazione deve corrispondere a quanto configurato nella finestra di dialogo del Servizio

ODBC CA User Activity Reporting Module; in caso contrario, si verificherà un errore di connessione.

ServerDataSource=Default

Specifica il nome dell'origine dati. Impostare questo valore su Default per accedere all'archivio registro eventi di CA User Activity Reporting Module.

CustomProperties=(x;y;z)

Queste proprietà sono identiche alle proprietà di ODBC personalizzate. Se non vengono specificate esplicitamente, verranno applicati i valori predefiniti visualizzati nell'URL di esempio.

Ulteriori informazioni

Considerazioni sull'origine dati ODBC

(a pagina 114)

Risoluzione di problemi dell'installazione

È possibile analizzare i seguenti file di log dell'installazione per dare inizio alla risoluzione problemi dell'installazione:

Posizione del file di log Prodotto

CA User Activity Reporting

Module

/tmp/pre-install_ca-elm.log

/tmp/install_ca-elm.<timestamp>.log

/tmp/install_ca-elmagent.<timestamp>.log

/opt/CA/SharedComponents/EmbeddedIAM/eiam-install.log CA Embedded Entitlements

Manager

CA Directory /tmp/etrdir_install.log

Capitolo 3: Installazione di CA User Activity Reporting Module 121

Risoluzione di problemi dell'installazione

L'installazione di CA User Activity Reporting Module copia il contenuto e altri file nel server CA EEM per la gestione. Dalla prospettiva del server CA EEM, i rapporti CA User Activity Reporting Module e altri file vengono importati. Se l'installazione non è in grado di connettersi al server CA EEM, l'installazione di

CA User Activity Reporting Module continuerà senza l'importazione dei file del contenuto. È possibile importare i file del contenuto manualmente al termine dell'installazione.

Se si riscontrano errori durante l'installazione, è necessario eseguire una o più delle seguenti azioni per completare l'installazione. Ciascuna delle azioni riportate implica l'accesso al server CA User Activity Reporting Module mediante l'account predefinito (caelmadmin), quindi il passaggio degli utenti all'account root.

■

Risoluzione di errori di configurazione dell'interfaccia di rete

■

Verifica dell'installazione del pacchetto rpm

■

Verifica dell'esecuzione del daemon iGateway

■

Registrazione dell'applicazione CA User Activity Reporting Module con il server CA EEM

■

Acquisizione dei certificati digitali

■

Importazione dei rapporti CA User Activity Reporting Module

■

Importazione dei file di mapping dei dati

Importazione dei file di parsing dei messaggi

Importazione dei file della grammatica evento comune (CEG)

Importazione dei file di gestione degli agenti comuni

122 Guida all'implementazione

Risoluzione di problemi dell'installazione

Risoluzione di errori di configurazione dell'interfaccia di rete

Dopo l'installazione, se non è possibile accedere all'interfaccia utente CA User

Activity Reporting Module, potrebbe verificarsi un errore di configurazione dell'interfaccia di rete. Esistono due opzioni per risolvere l'errore:

■

Rimuovere il cavo di rete fisico e inserirlo in una porta diversa.

■

Riconfigurare gli adapter dell'interfaccia di rete logica da una riga di comando.

Per riconfigurare le porte dell'adattatore di rete da una riga di comando

1. Accedere al dispositivo software come utente caelmadmin ed effettuare l'accesso a un prompt dei comandi.

2. Passare all'account dell'utente principale utilizzando il seguente comando: su -

3. Immettere la password dell'utente principale per confermare l'accesso al sistema.

4. Immettere il seguente comando: system-config-network

Interfaccia utente per configurare le visualizzazioni degli adattatori di rete.

5. Impostare le configurazioni delle porte come desiderato e uscire.

6. Riavviare i servizi di rete per applicare le modifiche con il seguente comando: service network restart

Verifica dell'installazione del pacchetto RPM

È possibile eseguire un controllo rapido dell'installazione verificando che il pacchetto rpm appropriato sia installato.

Per verificare il pacchetto rpm

1. Accedere ad un prompt dei comandi su un server CA User Activity Reporting

Module.

2. Accedere con le credenziali dell'account caelmadmin.

3. Passare all'account dell'utente principale con il seguente comando: su - root

Capitolo 3: Installazione di CA User Activity Reporting Module 123

Risoluzione di problemi dell'installazione

4. Verificare che il pacchetto ca-elm-<versione>.i386.rpm sia installato con il seguente comando: rpm -q ca-elm rpm -q ca-elmagent

Il sistema operativo restituisce il nome completo del pacchetto se questo è installato.

Registrare il server CA User Activity Reporting Module con il server CA EEM

Sintomo:

Durante l'installazione, l'applicazione CA User Activity Reporting Module non si

è registrata correttamente con il server CA EEM. L'applicazione CA User Activity

Reporting Module dipende dal server CA EEM per la gestione degli account utente e delle configurazioni dei servizi. Se l'applicazione CA User Activity

Reporting Module non è registrata, il software non verrà eseguito correttamente.

Lo script di shell menzionato nella procedura che segue viene copiato automaticamente nella directory indicata durante l'installazione.

Soluzione:

Registrazione manuale dell'applicazione CA User Activity Reporting Module con il server CA EEM.

Per registrare l'applicazione CA User Activity Reporting Module

1. Accedere ad un prompt dei comandi su un server CA User Activity Reporting

Module.

2. Accedere con le credenziali dell'account caelmadmin.

3. Passare all'account dell'utente principale con il seguente comando: su -

4. Navigare fino alla directory /opt/CA/LogManager/EEM.

5. Immettere il comando:

./EEMRegister.sh

Lo script di shell registra l'applicazione CA User Activity Reporting Module con il server CA EEM.

124 Guida all'implementazione

Risoluzione di problemi dell'installazione

Acquisizione di certificati dal server CA EEM

Sintomo:

Durante l'installazione, i certificati digitali non sono stati acquisiti correttamente dal server CA EEM. I certificati digitali sono necessari per avviare ed eseguire l'applicazione CA User Activity Reporting Module.

Lo script di shell menzionato nella procedura che segue viene copiato automaticamente nella directory indicata durante l'installazione.

Soluzione:

Acquisizione manuale dei certificati dal server CA EEM.

Per acquisire i certificati digitali

1. Accedere ad un prompt dei comandi su un server CA User Activity Reporting

Module.

2. Accedere con le credenziali dell'account caelmadmin.

3. Passare all'account dell'utente principale con il seguente comando: su -

4. Navigare fino alla directory /opt/CA/LogManager/EEM.

5. Immettere il comando:

./EEMAcqCert.sh

Lo script di shell esegue l'elaborazione necessaria ad acquisire i certificati digitali.

Importazione dei rapporti CA User Activity Reporting Module

Sintomo:

Durante l'installazione, il server CA EEM non ha importato correttamente il contenuto del rapporto dal server CA EEM. È necessario importare il contenuto del rapporto per visualizzare i dati degli eventi dopo che vengono archiviati nell'archivio del registro eventi.

Lo script di shell menzionato nella procedura che segue viene copiato automaticamente nella directory indicata durante l'installazione.

Soluzione:

Importazione manuale del contenuto dei rapporti.

Capitolo 3: Installazione di CA User Activity Reporting Module 125

Risoluzione di problemi dell'installazione

Per importare il contenuto dei rapporti

1. Accedere ad un prompt dei comandi su un server CA User Activity Reporting

Module.

2. Accedere con le credenziali dell'account caelmadmin.

3. Passare all'account dell'utente principale con il seguente comando: su -

4. Navigare fino alla directory /opt/CA/LogManager/EEM/content.

5. Immettere il comando:

./ImportCALMContent.sh

Lo script di shell scarica il contenuto dei rapporti dal server CA EEM.

Importazione dei file di mapping dei dati CA User Activity Reporting Module

Sintomo:

Durante l'installazione, il server CA EEM non ha importato correttamente i file del mapping dei dati (DM). È necessario disporre dei file DM per mappare i dati degli eventi in ingresso nell'archivio del registro eventi.

Lo script di shell menzionato nella procedura che segue viene copiato automaticamente nella directory indicata durante l'installazione.

Soluzione:

Importazione manuale dei file DM.

Per importare i file DM

1. Accedere ad un prompt dei comandi su un server CA User Activity Reporting

Module.

2. Accedere con le credenziali dell'account caelmadmin.

3. Passare all'account dell'utente principale con il seguente comando: su -

4. Navigare fino alla directory /opt/CA/LogManager/EEM/content.

5. Immettere il comando:

./ImportCALMDM.sh

Lo script di shell importa i file DM dal server CA EEM.

126 Guida all'implementazione

Risoluzione di problemi dell'installazione

Importazione dei file della grammatica evento comune (CEG)

Sintomo:

Durante l'installazione, il server CA EEM non ha importato correttamente i file della grammatica evento comune (CEG). La CEG forma lo schema del database alla base dell'archivio del registro eventi. Non sarà possibile archiviare eventi nell'archivio del registro eventi CA User Activity Reporting Module senza i file

CEG.

Lo script di shell menzionato nella procedura che segue viene copiato automaticamente nella directory indicata durante l'installazione.

Soluzione:

Importazione manuale dei file CEG.

Per importare i file CEG

1. Accedere ad un prompt dei comandi su un server CA User Activity Reporting

Module.

2. Accedere con le credenziali dell'account caelmadmin.

3. Passare all'account dell'utente principale con il seguente comando: su -

4. Navigare fino alla directory /opt/CA/LogManager/EEM/content.

5. Immettere il comando:

./ImportCALMCEG.sh

Lo script di shell importa i file della grammatica evento comune.

Importazione dei file della regola di correlazione

Sintomo:

Durante l'installazione, il server CA EEM non ha eseguito correttamente l'importazione dei file della regola di correlazione. Le regole di correlazione consentono di identificare i modelli di eventi che richiedono un'analisi. È possibile importare i gruppi oppure la regola di correlazione.

Lo script di shell menzionato nella procedura che segue viene copiato automaticamente nella directory indicata durante l'installazione.

Soluzione:

Importare i file di correlazione manualmente.

Capitolo 3: Installazione di CA User Activity Reporting Module 127

Risoluzione di problemi dell'installazione

Per importare i file della regola di correlazione

1. Accedere a un prompt dei comandi sul server CA User Activity Reporting

Module.

2. Accedere con le credenziali dell'account caelmadmin.

3. Commutare gli utenti sull'utente di root tramite il seguente comando: su -

4. Accedere alla directory /opt/CA/LogManager/EEM/content.

5. Eseguire uno dei seguenti comandi

./ImportCALMCorrelationGroups.sh

Lo script della shell importa i gruppi della regola di correlazione.

./ImportCALMCorrelationRules.sh

Lo script della shell importa i file della regola di correlazione.

Importazione dei file di gestione degli agenti comuni

Sintomo:

Durante l'installazione, il server CA EEM non ha importato correttamente i file di gestione dell'agente comune. Non è possibile gestire gli agenti nell'interfaccia utente CA User Activity Reporting Module senza questi file.

Lo script di shell menzionato nella procedura che segue viene copiato automaticamente nella directory indicata durante l'installazione.

Soluzione:

Importazione manuale dei file di gestione dell'agente.

Importazione dei file di gestione degli agenti comuni

1. Accedere a un prompt dei comandi sul server CA User Activity Reporting

Module.

2. Accedere con le credenziali dell'account caelmadmin.

3. Commutare gli utenti sull'utente di root tramite il seguente comando: su -

128 Guida all'implementazione

Risoluzione di problemi dell'installazione

4. Navigare fino alla directory /opt/CA/LogManager/EEM/content.

5. Immettere il comando:

./ImportCALMAgentContent.sh

Lo script di shell importa i file di gestione dell'agente comune.

Importazione dei file di configurazione CA User Activity Reporting Module

Sintomo:

Durante l'installazione, il server CA EEM non ha importato correttamente i file di configurazione. È possibile avviare CA User Activity Reporting Module ma nelle aree di configurazione dei servizi non saranno presenti alcune impostazioni e valori, senza i quali non sarà possibile configurare gli host individuali a livello centralizzato.

Lo script di shell menzionato nella procedura che segue viene copiato automaticamente nella directory indicata durante l'installazione.

Soluzione:

Importazione manuale dei file di configurazione.

Per importare i file di configurazione

1. Accedere a un prompt dei comandi sul server CA User Activity Reporting

Module.

2. Accedere con le credenziali dell'account caelmadmin.

3. Commutare gli utenti sull'utente di root tramite il seguente comando: su -

4. Navigare fino alla directory /opt/CA/LogManager/EEM/content.

5. Immettere il comando:

./ImportCALMConfig.sh

Lo script di shell importa i file di configurazione.

Capitolo 3: Installazione di CA User Activity Reporting Module 129

Risoluzione di problemi dell'installazione

Importazione dei file di soppressione e riepilogo

Sintomo:

Durante l'installazione, il server CA EEM non ha importato correttamente i file di soppressione e riepilogo. Senza questi file, non è possibile utilizzare le regole di soppressione e riepilogo in dotazione nell'interfaccia utente di CA User Activity

Reporting Module.

Lo script di shell menzionato nella procedura che segue viene copiato automaticamente nella directory indicata durante l'installazione.

Soluzione:

Importare i file di soppressione e riepilogo manualmente.

Per importare i file di soppressione e riepilogo

1. Accedere a un prompt dei comandi sul server CA User Activity Reporting

Module.

2. Accedere con le credenziali dell'account caelmadmin.

3. Commutare gli utenti sull'utente di root tramite il seguente comando: su -

4. Navigare fino alla directory /opt/CA/LogManager/EEM/content.

5. Immettere il comando:

./ImportCALMSAS.sh

Lo script di shell importa i file di soppressione e riepilogo.

Importazione dei file del token di analisi

Sintomo:

Durante l'installazione, il server CA EEM non ha importato correttamente i file del token di analisi. Senza questi file non è possibile utilizzare i token di analisi in dotazione nella Procedura guidata di analisi dei messaggi.

Lo script di shell menzionato nella procedura che segue viene copiato automaticamente nella directory indicata durante l'installazione.

Soluzione:

Importazione manuale dei file del token di analisi.

130 Guida all'implementazione

Risoluzione di problemi dell'installazione

Come importare i file del token di analisi

1. Accedere a un prompt dei comandi sul server CA User Activity Reporting

Module.

2. Accedere con le credenziali dell'account caelmadmin.

3. Commutare gli utenti sull'utente di root tramite il seguente comando: su -

4. Navigare fino alla directory /opt/CA/LogManager/EEM/content.

5. Immettere il comando:

./ImportCALMTOK.sh

Lo script di shell importa i file del token di analisi.

Importazione dei file dell'interfaccia utente di CA User Activity Reporting Module

Sintomo:

Durante l'installazione, il server CA EEM non ha importato correttamente i file dell'interfaccia utente. Senza questi file non è possibile visualizzare o utilizzare i valori nei campi del menu a discesa degli intervalli di tempo dinamici.

Lo script di shell menzionato nella procedura che segue viene copiato automaticamente nella directory indicata durante l'installazione.

Soluzione:

Importare i file dell'interfaccia utente manualmente.

Per importare i file dell'interfaccia utente

1. Accedere a un prompt dei comandi sul server CA User Activity Reporting

Module.

2. Accedere con le credenziali dell'account caelmadmin.

3. Commutare gli utenti sull'utente di root tramite il seguente comando: su -

4. Navigare fino alla directory /opt/CA/LogManager/EEM/content.

5. Immettere il comando:

./ImportCALMFlexFiles.sh

Lo script di shell importa i file dell'interfaccia utente.

Capitolo 3: Installazione di CA User Activity Reporting Module 131

Capitolo 4: Configurazione di utenti e accessi di base

Questa sezione contiene i seguenti argomenti:

Informazioni sugli utenti e gli accessi di base

(a pagina 133)

Configurazione dell'archivio utente

(a pagina 134)

Configurazione dei criteri delle password

(a pagina 138)

Conservazione di criteri di accesso predefiniti

(a pagina 139)

Creazione del primo amministratore

(a pagina 140)

Informazioni sugli utenti e gli accessi di base

La configurazione inizia con la configurazione dell'archivio utente, creando uno o più utenti con il ruolo di amministratore predefinito, e i criteri di configurazione della password. Di solito, questa configurazione viene eseguita dal programma di installazione, che può accedere a CA User Activity Reporting

Module con le credenziali EiamAdmin. Dopo avere completato questa configurazione, gli utenti definiti come amministratori configurano CA User

Activity Reporting Module.

Se la configurazione dell'archivio utente predefinito viene accettata, la configurazione minima che deve essere completata dall'utente EiamAdmin è l'account del primo amministratore. Il primo amministratore può configurare i criteri delle password prima di configurare gli altri componenti di CA User

Activity Reporting Module.

Nota: per i dettagli sulla creazione di altri utenti o per la creazione di ruoli personalizzati e criteri di accesso personalizzati, consultare la Guida

all'amministrazione di CA User Activity Reporting Module.

Capitolo 4: Configurazione di utenti e accessi di base 133

Configurazione dell'archivio utente

L'archivio utente rappresenta il repository per le informazioni utente globali. È possibile configurare l'archivio utente non appena si installa un server CA User

Activity Reporting Module. Solo l'utente EiamAdmin può configurare l'archivio utente; ciò solitamente avviene subito dopo il primo accesso.

Configurare l'archivio utente in uno dei seguenti modi:

■

Accettare l'archivio predefinito nel datastore interno

■

Nota: l'opzione predefinita potrebbe essere visualizzata come CA

Management Database se, durante l'installazione, è stato indicato un CA

EEM autonomo.

Selezionare Riferimento da una directory esterna, che potrebbe essere una directory LDAP come Microsoft Active Directory, Sun One o Novell CA

Accettare l'Archivio utente predefinito

Non è necessario configurare l'archivio utente se si accetta quello predefinito, che è il datastore interno. Questo vale se non è presente un archivio utente esterno a cui fare riferimento.

Per verificare che il repository predefinito sia configurato come archivio utente

1. Accedere a un server CA User Activity Reporting Module come utente con privilegi di amministrazione o con il nome utente EiamAdmin e con la password associata.

2. Fare clic sulla scheda Amministrazione.

Se si accede come utente EiamAdmin, questa scheda verrà visualizzata automaticamente.

134 Guida all'implementazione

Configurazione dell'archivio utente

3. Selezionare la sottoscheda Gestione utenti e accessi e fare clic sul pulsante

Archivio utente nel riquadro a sinistra.

Comparirà la Configurazione del server EEM per utenti globali/gruppi globali.

4. Verificare che l'opzione Archivia in un datastore interno sia selezionata.

5. Fare clic su Salva, quindi su Chiudi.

Nota: con l'archivio utente predefinito, è possibile creare nuovi utenti, impostare password temporanee e impostare i criteri delle password.

Ulteriori informazioni:

Pianificazione archivio utente

(a pagina 39)

Riferimento a una directory LDAP

Configurare l'archivio utente come riferimento a una directory LDAP quando i dettagli dell'utente globale sono archiviati in Microsoft Active Directory, Sun

One, o Novell Directory.

Nota: i dettagli dell'applicazione vengono archiviati nel repository predefinito. Il riferimento a un archivio utente esterno non aggiorna tale archivio utente.

Per fare riferimento a una directory LDAP come archivio utente

1. Accedere a un server CA User Activity Reporting Module come utente con privilegi di amministrazione o come utente EiamAdmin.

2. Fare clic sulla scheda Amministrazione.

Se si accede come utente EiamAdmin, questa scheda verrà visualizzata automaticamente.

3. Selezionare la sottoscheda Gestione utenti e accessi e fare clic su Archivio utente nel riquadro a sinistra.

Comparirà la configurazione del server CA EEM per l'Archivio utente.

4. Selezionare Riferimento da una directory esterna.

Compariranno i campi per la configurazione LDAP.

Capitolo 4: Configurazione di utenti e accessi di base 135

Configurazione dell'archivio utente

5. Completare questi campi come pianificato nel foglio di calcolo della directory esterna.

Considerare il seguente esempio per il binding a oggetti Active Directory, con la seguente stringa di binding:

Set objUser = Get Object ("LDAP://cn=Bob, cn=Users, ou=Sales, dc=MyDomain, dc=com"), dove cn è il nome comune, ou è l'unità organizzativa e dc è composto da due componenti di dominio che compongono il nome DNS completo. Per il DN utente, inserire: cn=Bob,cn=Users,ou=Sales,dc=MyDomain,dc=com

6. Fare clic su Salva.

Salvando questo riferimento le informazioni sull'account utente vengono caricate in CA EEM. Questo rende possibile l'accesso a queste registrazioni utente come utenti globali e l'aggiunta di dettagli a livello di applicazione come il gruppo utente dell'applicazione il nome del ruolo utente.

7. Rivedere lo stato visualizzato per verificare che il bind della directory esterna sia corretto e che i dati vengano caricati.

Se lo stato visualizza un avviso, fare clic su Aggiorna stato. Se lo stato visualizza un errore, correggere la configurazione, fare clic su Salva e ripetere questo passaggio.

8. Fare clic su Chiudi.

Ulteriori informazioni:

Pianificazione archivio utente

(a pagina 39)

Foglio di calcolo directory LDAP esterna

(a pagina 41)

Riferimento a CA SiteMinder come archivio utente

Se gli account utente sono già definiti in CA SiteMinder, fare riferimento a questa directory esterna quando si configura l'archivio utente.

Per fare riferimento a CA SiteMinder come archivio utente

1. Accedere a un server CA User Activity Reporting Module come utente con privilegi di amministrazione o come utente EiamAdmin.

2. Fare clic sulla scheda Amministrazione.

Se si accede come utente EiamAdmin, questa scheda verrà visualizzata automaticamente.

136 Guida all'implementazione

Configurazione dell'archivio utente

3. Selezionare la sottoscheda Gestione utenti e accessi e fare clic sul pulsante

Archivio utente nel riquadro a sinistra.

Comparirà la configurazione del server CA EEM per l'Archivio utente.

4. Selezionare l'opzione Riferimento da CA SiteMinder.

Compariranno campi specifici di CA SiteMinder. a. Completare questi campi come pianificato nel foglio di calcolo di

SiteMinder. b. Per visualizzare o modificare le connessioni e le porte utilizzate da CA

SiteMinder, fare clic sui puntini di sospensione per visualizzare il riquadro Attributi della connessione.

5. Fare clic su Salva.

6. Rivedere lo stato visualizzato per verificare che il bind della directory esterna sia corretto e che i dati vengano caricati.

Se lo stato visualizza un avviso, fare clic su Aggiorna stato. Se lo stato visualizza un errore, correggere la configurazione, fare clic su Salva e ripetere questo passaggio.

7. Fare clic su Chiudi.

Ulteriori informazioni:

Pianificazione archivio utente

(a pagina 39)

Foglio di lavoro per CA SiteMinder

(a pagina 43)

Capitolo 4: Configurazione di utenti e accessi di base 137

Configurazione dei criteri delle password

È possibile impostare criteri delle password per garantire che le password che gli utenti creano per sé soddisfino gli standard impostati e che vengano modificate con la frequenza richiesta. Impostare i criteri delle password dopo la configurazione dell'archivio utente interno. Solo l'utente EiamAdmin o un utente a cui è stato assegnato il ruolo di amministratore può impostare o modificare i criteri delle password.

Nota: i criteri delle password CA User Activity Reporting Module non sono validi per gli account utente creati in un archivio utente esterno.

Per configurare criteri delle password

1. Accedere a un server CA User Activity Reporting Module come utente con privilegi di amministrazione o come utente EiamAdmin.

2. Fare clic sulla scheda Amministrazione.

Se si accede come utente EiamAdmin, questa scheda verrà visualizzata automaticamente.

3. Selezionare la sottoscheda Gestione utenti e accessi e fare clic sul pulsante

Criteri password nel riquadro a sinistra.

Comparirà il riquadro Criteri password.

4. Specificare se permettere che la password corrisponda al nome utente.

5. Specificare se applicare requisiti di lunghezza.

6. Specificare se applicare criteri sui caratteri massimi ripetuti o sul numero minimo o sui caratteri numerici.

7. Specificare i criteri di età e riutilizzo.

8. Verificare le impostazioni, quindi fare clic su Salva.

9. Fare clic su Chiudi.

I criteri delle password configurati sono validi per tutti gli utenti CA User

Activity Reporting Module.

Ulteriori informazioni:

Pianificazione dei criteri delle password

(a pagina 44)

Nome utente e una password

(a pagina 45)

Età e riutilizzo delle password

(a pagina 45)

Lunghezza e formato della password

(a pagina 46)

138 Guida all'implementazione

Conservazione di criteri di accesso predefiniti

Se si pianifica di utilizzare i gruppi utente delle applicazioni predefinite, o ruoli, solo con i criteri predefiniti associati, potrebbe presentarsi il rischio che i criteri predefiniti vengano eliminati o risultino danneggiati. Tuttavia, se gli amministratori pianificano la creazione di ruoli definiti dall'utente e di criteri di accesso associati, i criteri predefiniti garantiranno l'accesso, la modifica e saranno vulnerabili a modifiche indesiderate. È una buona prassi conservare un backup dei criteri predefiniti originali che è possibile ripristinare in caso di necessità.

Creare un file di backup contenente ogni tipo di criterio predefinito utilizzando la funzione Esporta. È possibile copiare questi file su un supporto esterno o lasciarli sul disco del server su cui è stata avviata l'esportazione.

Nota: per procedure relative al backup di criteri predefiniti, vedere la Guida

all'amministrazione di CA User Activity Reporting Module.

Capitolo 4: Configurazione di utenti e accessi di base 139

Creazione del primo amministratore

Al primo utente creato deve essere assegnato il ruolo di amministratore. Solo gli utenti a cui è assegnato il ruolo di amministratore possono eseguire la configurazione. È possibile assegnare il ruolo di amministratore a un nuovo account utente creato o a un account utente esistente recuperato in CA User

Activity Reporting Module.

Utilizzare la seguente procedura:

1. Accedere al server CA User Activity Reporting Module come utente predefinito EiamAdmin.

2. Creare il primo amministratore.

Il metodo che si utilizza per creare il primo amministratore di CA User

Activity Reporting Module dipende dalla configurazione dell'archivio utente.

■

Se si configura CA User Activity Reporting Module per utilizzare l'archivio utente interno, si crea un nuovo account utente con ruolo di amministratore.

Se si configura CA User Activity Reporting Module per utilizzare un archivio utente esterno, si deve utilizzare un utente LDAP esistente per il bind della directory. Una volta eseguito il bind a una directory esterna, si recupera dall'archivio utente esterno l'account utente dell'utente a cui assegnare un ruolo CA User Activity Reporting Module. Gli account utente di archivi utente esterni vengono recuperati come utenti globali.

Non è possibile modificare le informazioni di un account utente esistente, ma è possibile aggiungere un nuovo gruppo utente o ruolo dell'applicazione CAELM. Per il primo utente, assegnare il ruolo di amministratore.

Nota: non è possibile creare nuovi utenti da CA User Activity Reporting

Module quando si configura un archivio utente esterno.

3. Disconnessione dal server CA User Activity Reporting Module

4. Accedere nuovamente al server CA User Activity Reporting Module con le credenziali del nuovo account utente.

Quindi sarà possibile eseguire le attività di configurazione.

140 Guida all'implementazione

Creazione del primo amministratore

Creazione di un nuovo account utente

È possibile creare un account utente per ogni persona che utilizzerà CA User

Activity Reporting Module. Fornire le credenziali con cui l'utente effettuerà l'accesso per la prima volta e specificare il rispettivo ruolo. I tre ruoli predefiniti includono amministratore, analista e revisore. Quando un nuovo utente a cui è assegnato il ruolo di analista o revisore effettua l'accesso, CA User Activity

Reporting Module autentica l'utente con le credenziali salvate e autorizza l'utilizzo di varie funzionalità in base al ruolo assegnato.

Per creare un nuovo utente

1. Accedere al server CA User Activity Reporting Module come utente predefinito EiamAdmin.

Verrà visualizzata la scheda Amministrazione e la sottoscheda Gestione utenti e accessi.

2. Fare clic su Utenti nel riquadro sinistro.

3. Fare clic su Nuovo utente a sinistra della cartella Utenti.

Sul lato destro della finestra viene visualizzata la schermata contenente i dettagli del nuovo utente.

4. Digitare un nome utente nel campo Nome utente. I nomi utente non effettuano la distinzione tra maiuscole e minuscole.

5. Fare clic su Aggiungi informazioni su utente applicazione.

6. Selezionare il ruolo associato alle attività che verranno eseguite da questo utente. Utilizzare il controllo pilota per spostarlo nell'elenco Gruppi utente selezionati.

7. Fornire i valori dei campi rimanenti nella schermata come necessario. È necessario fornire una password che distingua maiuscole e minuscole con conferma nella casella del gruppo di autenticazione.

8. Fare clic prima su Salva, quindi su Chiudi.

Ulteriori informazioni:

Assegnazione di un ruolo a un utente globale

(a pagina 142)

Capitolo 4: Configurazione di utenti e accessi di base 141

Creazione del primo amministratore

Assegnazione di un ruolo a un utente globale

È possibile eseguire la ricerca di un account utente esistente ed assegnare il gruppo utenti dell'applicazione al ruolo che si desidera venga eseguito. Se si fa riferimento a un archivio utente esterno, la ricerca restituisce record globali caricati da quell'archivio utente. Se l'archivio utente configurato è quello di CA

User Activity Reporting Module, la ricerca restituisce i record creati per gli utenti in CA User Activity Reporting Module.

La modifica degli account utenti è consentita soltanto agli amministratori.

Per assegnare un ruolo (o un gruppo utenti dell'applicazione) a un utente esistente

1. Fare clic sulla scheda Amministrazione e sulla sottoscheda Gestione utenti e accessi.

2. Fare clic su Utenti nel riquadro sinistro.

Vengono visualizzati i riquadri Ricerca utenti e Utenti.

3. Selezionare Utenti globali, inserire un criterio di ricerca e fare clic su Vai a.

Se si stanno cercando account utente caricati, il riquadro Utenti mostra il percorso e le etichette percorso rispecchiano la directory esterna di riferimento.

Importante: Immettere sempre i criteri di ricerca in modo che non vengano visualizzate tutte le voci in un archivio utente esterno.

4. Selezionare un utente globale senza appartenenza ad alcun gruppo applicazione CA User Activity Reporting Module.

Viene visualizzata la pagina utente con il nome della cartella, i dettagli sull'utente globale e, laddove applicabile, l'appartenenza al gruppo globale.

5. Fare clic su Aggiungi dettagli utente applicazione.

Il riquadro dettagli utente "CAELM" si espande.

6. Selezionare il gruppo desiderato da Gruppi utente disponibili e fare clic sulla freccia a destra.

Il gruppo selezionato viene visualizzato nella casella del gruppo utenti selezionato.

7. Fare clic su Salva.

142 Guida all'implementazione

Creazione del primo amministratore

8. Verificare che il gruppo sia stato aggiunto. a. Dal riquadro di ricerca degli utenti, fare clic su Dettagli dell'applicazione utente, quindi fare clic su Vai. b. Verificare che il nome del nuovo utente dell'applicazione venga visualizzato tra i risultati.

9. Fare clic su Chiudi.

Capitolo 4: Configurazione di utenti e accessi di base 143

Capitolo 5: Configurazione dei servizi

Questa sezione contiene i seguenti argomenti:

Fonti e configurazioni degli eventi

(a pagina 145)

Modificare le configurazioni globali

(a pagina 146)

Utilizzo di impostazioni e filtri globali

(a pagina 149)

Configurazione dell'archivio registro eventi

(a pagina 151)

Configurazione del servizio di correlazione

(a pagina 177)

Considerazioni sul servizio incidenti

(a pagina 187)

Considerazioni su ODBC Server

(a pagina 188)

Considerazioni sul server di rapporto

(a pagina 189)

Configurazione della sottoscrizione

Fonti e configurazioni degli eventi

La maggior parte delle reti dispone di periferiche basate su Windows e su syslog i cui log eventi devono essere raccolti, archiviati, monitorati e controllati. La rete può disporre anche di altri tipi di periferiche, incluse applicazioni, database, lettori di badge, periferiche biometriche o registratori CA Audit e iRecorder esistenti. I servizi, gli adapter, gli agenti e i connettori CA User Activity Reporting

Module rappresentano le configurazioni necessarie per connettersi a queste origini eventi e ricevere dati di evento.

I servizi CA User Activity Reporting Module includono le seguenti aree per le configurazioni e le impostazioni:

■

Configurazioni globali

■

Filtri e impostazioni globali

■

Servizio di avviso

■

Servizio di correlazione

■

Impostazioni deposito eventi di log

Capitolo 5: Configurazione dei servizi 145

Modificare le configurazioni globali

■

Servizio incidenti

Impostazioni server ODBC

Impostazioni server rapporti

Servizio test della regola

Configurazione del servizio di sottoscrizione

Pannello di accesso allo stato del sistema

Le configurazioni dei servizi possono essere globali, ovvero possono riguardare tutti i server CA User Activity Reporting Module installati con un unico nome di istanza dell'applicazione nel server di gestione. Le configurazioni possono essere anche locali, riguardando solo un server selezionato. Le configurazioni vengono archiviate nel server di gestione con una copia locale sul server di raccolta CA

User Activity Reporting Module. In questo modo, se la connettività di rete viene perduta o il server di gestione è inattivo per qualsiasi motivo, la registrazione degli eventi continua senza interruzione sui server di raccolta.

Il pannello di accesso allo stato del sistema fornisce gli strumenti che hanno effetto su un server CA User Activity Reporting Module e i relativi servizi e per la raccolta di informazioni per l'assistenza. La Guida all'amministrazione e la guida in linea contengono ulteriori informazioni su questa area.

Modificare le configurazioni globali

È possibile impostare le configurazioni globali per tutti i servizi. Se si tenta di salvare valori non inclusi nell'intervallo consentito, per impostazione predefinita verrà utilizzato il valore massimo o minimo, a seconda dei casi. Molte delle impostazioni sono interdipendenti.

Per modificare le impostazioni globali

1. Fare clic sulla scheda Amministrazione, quindi sulla sottoscheda Servizi.

Viene visualizzato l'Elenco servizi.

2. Fare clic su Configurazione globale nell'Elenco servizi.

Verrà visualizzato il riquadro dei dettagli Configurazione di servizio globale.

146 Guida all'implementazione

Modificare le configurazioni globali

3. Modificare una delle seguenti impostazioni di configurazione:

Intervallo di aggiornamento

Indica la frequenza, in secondi, con cui i componenti del server applicheranno gli aggiornamenti di configurazione.

Minimo: 30

Massimo: 86400

Timeout di sessione

Specifica la lunghezza massima di una sessione inattiva. Se viene abilitata la funzione di aggiornamento automatico, la sessione non scade mai.

Minimo: 10

Massimo: 600

Consenti aggiornamento automatico

Consente agli utenti di aggiornare automaticamente i report o le query.

Questa impostazione consente agli amministratori di disabilitare globalmente l'aggiornamento automatico.

Frequenza di aggiornamento automatico

Specifica, in minuti, l'intervallo di tempo tra gli aggiornamenti della visualizzazione del rapporto. Questa impostazione dipende dalla selezione di Consenti aggiornamento automatico.

Minimo: 1

Massimo: 60

Abilita aggiornamento automatico

Imposta l'aggiornamento automatico in tutte le sessioni. Per impostazione predefinita, l'aggiornamento automatico non è abilitato.

Per visualizzare gli avvisi è necessario effettuare l'autenticazione

Impedisce ai revisori o ai prodotti di terze parti di visualizzare i feed RSS di avviso. Questa funzione è attivata per impostazione predefinita.

Rapporto predefinito

Consente di specificare il rapporto predefinito.

Abilita avvio del rapporto predefinito

Visualizza il rapporto predefinito facendo clic sulla sottoscheda

Rapporti. Questa funzione è attivata per impostazione predefinita.

Capitolo 5: Configurazione dei servizi 147

Modificare le configurazioni globali

4. Modificare una delle seguenti impostazioni relative a rapporti e tag delle query:

Nascondi tag di rapporto

Impedisce la visualizzazione dei tag specificati negli elenchi di tag.

Nascondendo i tag di rapporto, sarà più semplice visualizzare i rapporti disponibili.

Nascondi tag delle query

Consente di nascondere i tag selezionati. I tag nascosti non verranno visualizzati nell'elenco principale delle query o nell'elenco delle query di pianificazione degli avvisi. Nascondendo i tag di query, sarà possibile personalizzare la visualizzazione delle query disponibili.

5. Modificare una delle seguenti impostazioni dashboard:

Abilita avvio dashboard predefinito

Visualizza il dashboard predefinito facendo clic sulla scheda Query e rapporti. Questa funzione è attivata per impostazione predefinita.

Dashboard predefinito

6. Modificare una delle seguenti impostazioni di profilo:

Attivazione profilo predefinito

Consente di impostare il profilo predefinito.

Profilo predefinito

Indica il profilo predefinito.

Nascondi profili

Consente di nascondere i profili selezionati. I profili nascosti non verranno visualizzati quando si aggiorna l'interfaccia o quando scade l'intervallo di aggiornamento. Nascondendo i profili, sarà possibile personalizzare la visualizzazione dei profili disponibili.

Nota: fare clic su Reimposta per ripristinare i valori dell'ultimo salvataggio.

Sarà possibile ripristinare una o più modifiche, finché non le si salva. Una volta salvate le modifiche, sarà necessario reimpostarle singolarmente.

7. Fare clic su Salva.

148 Guida all'implementazione

Utilizzo di impostazioni e filtri globali

È possibile definire filtri e impostazioni globali come parte della configurazione del proprio server CA User Activity Reporting Module. Le impostazioni globali vengono salvate solo per la sessione corrente e non persistono dopo la disconnessione dal server, a meno che venga selezionata l'opzione Utilizza come predefinite.

Un filtro rapido globale controlla l'intervallo iniziale in cui eseguire il rapporto, offre filtraggio del testo con corrispondenza semplice e permette di utilizzare campi specifici e i relativi valori per modificare i dati visualizzati in un rapporto.

Un filtro avanzato globale permette di utilizzare la sintassi e gli operatori SQL per esaminare ulteriormente i dati del rapporto. Le impostazioni globali permettono di impostare un fuso orario e di utilizzare query speciali che recuperano i dati da altri server CA User Activity Reporting Module in una federazione, oltre ad abilitare l'aggiornamento automatico dei rapporti durante la visualizzazione.

Impostare filtri globali adatti all'utilizzo in aree di rapporto multiple. Impostando opzioni che limitano i filtri globali, è possibile controllare la quantità di dati mostrata in un rapporto. Le attività iniziali riguardanti filtri e impostazioni globali includono le seguenti:

■

Configurare i filtri rapidi globali per fornire un periodo iniziale che interessi i rapporti visualizzati da questo server CA User Activity Reporting Module;

■

Selezionare query federate nella scheda Impostazioni per visualizzare i dati dai server CA User Activity Reporting Module federati con questo server;

■

Decidere se aggiornare automaticamente i rapporti;

Impostare l'intervallo con cui aggiornare i dati nel rapporto.

Nota: impostando il filtro globale in modo troppo limitato o specifico, si potrebbe impedire la visualizzazione dei dati in alcuni rapporti.

Ulteriori informazioni sui filtri globali e sul loro utilizzo sono disponibili nella

Guida in linea.

Capitolo 5: Configurazione dei servizi 149

Utilizzo di impostazioni e filtri globali

Selezione dell'utilizzo di query federate

È possibile specificare se si desidera eseguire query su dati federati. Se si ha intenzione di utilizzare più di un server CA User Activity Reporting Module in una rete federata, è possibile selezionare la casella di controllo Usa query federate. Questa opzione permette di raccogliere dati degli eventi al fine della creazione di rapporti da tutti i server CA User Activity Reporting Module federati in (che agiscono come figli di) questo server CA User Activity Reporting Module.

È inoltre possibile scegliere di disattivare le query federate per una query specifica, se si desidera osservare i dati solo dal server CA User Activity

Reporting Module corrente.

Per impostare l'utilizzo delle query federate

1. Accedere al server CA User Activity Reporting Module.

2. Fare clic sul pulsante Mostra/Modifica filtri globali.

Il pulsante si trova alla destra del nome del server CA User Activity

Reporting Module corrente e appena sopra alle schede principali.

3. Fare clic sulla scheda Impostazioni.

4. Specificare se utilizzare le query federate.

Se si disattivano le opzioni delle query federate selezionate, i rapporti visualizzati non conterranno dati degli eventi dai server configurati come figli di questo server.

Ulteriori informazioni:

Configurazione di una federazione CA User Activity Reporting Module

228)

Configurazione di un server CA User Activity Reporting Module come server figlio

(a pagina 228)

Configurazione dell'intervallo di aggiornamento globale

È possibile definire l'intervallo con cui i servizi CA User Activity Reporting

Module controllano se la configurazione ha subito modifiche. Il valore predefinito, dopo l'installazione, è di cinque minuti e viene espresso in secondi.

L'impostazione di questo valore a intervalli molto lunghi può provocare il ritardo nell'applicazione delle modifiche alla configurazione.

150 Guida all'implementazione

Configurazione dell'archivio registro eventi

Per configurare l'intervallo di aggiornamento

1. Accedere al server CA User Activity Reporting Module e fare clic sulla scheda

Amministrazione.

2. Fare clic sulla scheda Servizi e selezionare il nodo del servizio Configurazione globale.

3. Immettere un nuovo valore per l'intervallo di aggiornamento.

Il valore predefinito e consigliato è 300 secondi.

Configurazione dell'archivio registro eventi

L'archivio registro eventi è il database proprietario di base che contiene i registri eventi raccolti. Le opzioni di configurazione impostate per il servizio archivio registro eventi possono essere globali o locali e riguardano la memorizzazione e l'archiviazione degli eventi da parte del server CA User Activity Reporting

Module. La procedura di configurazione dell'archivio registro eventi include quanto segue:

■

Comprendere il servizio archivio registro eventi

■

Comprendere la gestione dei file di archivio da parte dell'archivio registro eventi

■

Configurazione dei valori globali e locali dell'archivio registro eventi

Questa fase comprende l' impostazione della dimensione del database, i valori di base per la memorizzazione del file archivio, le regole di riepilogo, le regole di soppressione, le relazioni di federazione, le impostazioni della correlazione, i controlli di integrità dei dati e le opzioni di archiviazione automatica.

CA User Activity Reporting Module chiude automaticamente i file del database attivo e crea file di archivio quando i database attivi raggiungono la capacità definita per questo servizio. Quindi CA User Activity Reporting Module apre nuovi file attivi per continuare le operazioni di registrazione di eventi. È possibile configurar opzioni di auto-archiviazione per gestire questi file, ma solo come configurazione locale per ogni server CA User Activity Reporting Module.

Capitolo 5: Configurazione dei servizi 151

Configurazione dell'archivio registro eventi

Informazioni sul servizio archivio registro eventi

Il servizio archivio registro eventi gestisce le interazioni dei database come il seguente:

■

Inserimento di nuovi eventi nel database (hot) corrente

■

Recupero di eventi da database federati locali e remoti per query e rapporti

■

Creazione di nuovi database quando il database corrente è completo

■

Creazione di nuovi file di archivio ed eliminazione dei vecchi file di archivio

■

Gestione della cache delle query dell'archivio

■

Applicazione delle regole di riepilogo e di soppressione selezionate

■

Applicazione delle regole di inoltro eventi selezionate

■

Definizione dei server CA User Activity Reporting Module che agiscono come figli federati di questo server CA User Activity Reporting Module

Informazioni sui file di archivio

Il server CA User Activity Reporting Module crea automaticamente file di database, chiamati file di archivio, quando un database hot raggiunge le impostazioni del Numero massimo di righe specificate all'interno del servizio archivio registro eventi. I file di database hot non sono compressi.

Quando si configura l'auto-archiviazione da un server di raccolta in un server di rapporto, i database warm sul server di raccolta vengono eliminati dopo che i database vengono copiati sul server di rapporto. L'opzione Numero massimo di giorni di archiviazione non è valida in questo caso.

Quando si configura l'auto-archiviazione da un server di rapporto a un server di archiviazione remoto, i database warm sul server di rapporto non vengono eliminati dopo essere stati copiati sul server di archiviazione remoto. Al contrario, questi database warm vengono conservati sul server di rapporto fino a quando viene raggiunto il valore specificato in Numero massimo di giorni di archiviazione. A questo punto vengono eliminati. Tuttavia, una registrazione di questi database cold eliminati viene conservata in modo che si possa interrogare il database degli archivi per i dettagli, nel caso tali informazioni fossero necessarie per eseguire un ripristino.

152 Guida all'implementazione

Configurazione dell'archivio registro eventi

Quando si stabilisce come impostare il Numero massimo di giorni di archiviazione, tenere in considerazione la quantità di spazio su disco disponibile sul server di rapporto. La configurazione dello Spazio di archiviazione su disco imposta la soglia. Se lo spazio su disco disponibile scende al di sotto della percentuale impostata, i dati del registro eventi vengono eliminati per creare più spazio anche quando il Numero massimo di giorni di archiviazione non è trascorso.

Quando non si configura l'auto-archiviazione da un server di rapporto a un server di archiviazione remoto, è necessario eseguire manualmente il backup dei database warm e spostare manualmente la copia in una posizione di archiviazione remota con una frequenza superiore a quella del Numero massimo di giorni di archiviazione configurato. In caso contrario, si rischia di perdere i dati. Si consiglia di eseguire quotidianamente il backup dei file di archivio per evitare una potenziale perdita dei dati e per mantenere una quantità adeguata di spazio su disco. Il servizio archivio registro eventi gestisce la sua cache interna per le query sui database archiviati per migliorare le prestazioni quando vengono eseguite query ripetute o molto ampie.

Ulteriori informazioni sul funzionamento dei file archivio è disponibile nella

Guida all'amministrazione CA User Activity Reporting Module.

Ulteriori informazioni:

Esempio: archiviazione automatica fra tre server

(a pagina 167)

Informazioni sull'archiviazione automatica

La gestione dei registri eventi archiviati richiede una gestione accurata dei backup e dei file ripristinati. La configurazione del servizio di archiviazione dei registri eventi fornisce una posizione centralizzata per configurare e ottimizzare le dimensioni e la conservazione dei database interni e per impostare opzioni di archiviazione automatica. CA User Activity Reporting Module fornisce i seguenti script per aiutare nelle seguenti attività:

■ backup-ca-elm.sh

■ restore-ca-elm.sh

■ monitor-backup-ca-elm.sh

Capitolo 5: Configurazione dei servizi 153

Configurazione dell'archivio registro eventi

Nota: l'utilizzo di questi script da per scontato che sia stato stabilita l'autenticazione non interattiva tra i due server utilizzando chiavi RSA.

Gli script di backup e ripristino utilizzano l'utilità LMArchive per facilitare la copia di database warm in o da host remoti. Gli script aggiornano automaticamente i file di catalogo appropriati al termine dell'attività. È possibile eseguire la copia in server remoti o in altri server CA User Activity Reporting Module. Se l'host remoto in cui si inviano i file è un server CA User Activity Reporting Module, gli script aggiornano automaticamente i file del catalogo anche nel server di ricezione. Gli script eliminano anche i file di archivio dalla macchina locale per evitare la duplicazione nei rapporti federati. Ciò garantisce che i dati siano disponibili per le query e i rapporti. L'archiviazione all'esterno del sistema viene chiamata archivio cold. È possibile ripristinati i file spostati all'archivio cold per query e rapporti.

Lo script di monitoraggio esegue automaticamente lo script di backup utilizzando le impostazioni specificate nella porzione dell'archiviazione automatica della configurazione del servizio dell'archivio registro eventi.

Ulteriori informazioni:

Esempio: archiviazione automatica fra tre server

(a pagina 167)

Spostamento del database e diagramma di flusso delle strategie di backup

È possibile eseguire contemporaneamente la raccolta di eventi e la creazione di rapporti su ogni server CA User Activity Reporting Module oppure è possibile dedicare server diversi alla raccolta e ai rapporti. Se dei server sono stati dedicati alla raccolta, ogni ora è richiesto uno spostamento automatico dal server di raccolta al server di rapporto; in caso contrario, non è applicabile. Se non si dispone di ruoli server dedicati, interpretare i riferimenti del diagramma di flusso "da server di rapporto a archiviazione remota" come "da CA User

Activity Reporting Module non dedicato a archiviazione remota."

154 Guida all'implementazione

Configurazione dell'archivio registro eventi

Una strategia di backup implica la presenza di due copie di ogni database, in cui uno viene considerato il backup. È possibile raggiungere questo obiettivo con o senza l'archiviazione automatica in un server di archiviazione remoto. La strategia di backup archiviazione automatica viene riflessa nei database originali sul server di archiviazione remoto e i backup in una posizione esterna.

La strategia di backup senza archiviazione automatica viene riflessa nei database originali sul server CA User Activity Reporting Module e i backup in un server di archiviazione remoto. Qualora sia possibile archiviare il database sul server CA

User Activity Reporting Module in cui sono stati inizialmente archiviati dipende dallo spazio disponibile per l'archiviazione a lungo termine e dai criteri di archiviazione. Se questi criteri vengono soddisfatti, la decisione viene lasciata alle preferenze personali.

Capitolo 5: Configurazione dei servizi 155

Configurazione dell'archivio registro eventi

Configurazione dell'autenticazione non interattiva per archiviazione automatica

È possibile configurare l'archiviazione automatica tra server con ruoli diversi. Ad esempio:

■

Da uno o più server di raccolta a un singolo server di rapporto.

■

Da uno o più server di rapporto a un singolo server di archiviazione remota.

Prima di configurare l'archiviazione automatica da un server a un altro, configurare l'autenticazione ssh non interattiva dal server di origine al server di destinazione. Non interattiva significa che un server può trasferire file su di un altro senza richiedere alcuna password.

■

Se si dispone di soli tre server, un server di raccolta, un server di rapporto e un server di archiviazione remoto, è necessario configurare l'autenticazione non interattiva due volte:

–

Dal server di raccolta al server di rapporto

–

Dal server di rapporto al server di archiviazione remota.

■

Se si dispone di sei server con quattro server di raccolta, un server di rapporto e un server di archiviazione remoto, è necessario configurare l'autenticazione non interattiva cinque volte:

–

Dal server di raccolta 1 al server di rapporto.

–

Dal server di raccolta 2 al server di rapporto.

–

Dal server di raccolta 3 al server di rapporto.

–

Dal server di raccolta 4 al server di rapporto.

–

Dal server di rapporto al server di archiviazione remota.

La configurazione dell'autenticazione ssh non interattiva tra due server utilizza le coppie di chiavi RSA, una chiave privata e una chiave pubblica. Copiare prima la chiave pubblica generata nel server di destinazione come authorized_keys.

Quando vengono configurate più istanze di autenticazione non interattiva per lo stesso server di rapporto di destinazione, copiare le chiavi pubbliche aggiuntive per i nomi file univoci per evitare di sovrascrivere il file originale authorized_keys. Questi nomi file vengono concatenati a authorized_keys. Ad esempio, se viene aggiunto authorized_keys_ELM-C2 e authorized_keys_ELM-

C3 al file authorized_keys da ELM-C1.

156 Guida all'implementazione

Configurazione dell'archivio registro eventi

Esempio: Configurazione dell'autenticazione non interattiva per hub e spoke

L'esistenza di autenticazione non interattiva tra due server è un prerequisito per l'archiviazione automatica dal sistema di origine al server di destinazione. Uno scenario comune per la configurazione dell'autenticazione non interattiva è uno scenario in cui più server di origine dedicati alla raccolta dispongono di un server di destinazione comune dedicato alla rapporto/gestione. Questo esempio presuppone una federazione CA User Activity Reporting Module di medie dimensioni con un server di rapporto/gestione (hub), quattro server di raccolta

(spoke) e un server di archiviazione remoto. I nomi per i server in ciascun ruolo server sono i seguenti:

■

Server di rapporto/gestione CA User Activity Reporting Module: ELM-RPT

■

Server di raccolta CA User Activity Reporting Module: ELM-C1, ELM-C2,

ELM-C3, ELM-C4

■

Server di archiviazione remoto:RSS.

Le procedure per l'abilitazione dell'autenticazione non interattiva per la federazione CA User Activity Reporting Module sono le seguenti:

1. Dal primo server di raccolta, generare una coppia di chiavi RSA come caelmservice e copiare la chiave pubblica come authorized_keys nella directory /tmp sul server di rapporto di destinazione.

2. Da ciascun eventuale server di raccolta aggiuntivo, generare una coppia di chiavi RSA e copiare la chiave pubblica come authorized_keys_n, dove n identifica in modo univoco l'origine.

3. Dalla directory /tmp, il server di rapporto concate il contenuto dei file della chiave pubblica per authorized_keys originale. Creare una directory .ssh e modificare la proprietà della directory a caelmservice, spostare authorized_keys alla directory .ssh e impostare la proprietà del file della chiave e delle autorizzazioni necessarie.

4. Verificare che l'autenticazione non interattiva esista tra i server di raccolta e il server di rapporto.

5. Dal server di archiviazione remoto, creare una struttura di directory per la directory .ssh, dove l'impostazione predefinita è /opt/CA/LogManager.

Creare una directory .ssh sul sistema di destinazione e modificare la proprietà a caelmservice.

6. Dal server di rapporto, generare una coppia di chiavi RSA come caelmservice e copiare la chiave pubblica come authorized_keys nella directory /tmp sul server di archiviazione remoto di destinazione.

Capitolo 5: Configurazione dei servizi 157

Configurazione dell'archivio registro eventi

7. Dal server di archiviazione remoto, spostare authorized_keys dalla directory

/tmp alla directory .ssh e impostare la proprietà del file della chiave a caelmservice con le autorizzazioni necessarie.

8. Verificare che l'autenticazione non interattiva esista tra il server di rapporto e il server di archiviazione remoto.

Configurazione delle chiavi per la prima coppia raccolta/rapporto

la configurazione dell'autenticazione non interattiva per un'architettura hub e spoke inizia con la generazione di una coppia di chiavi RSA pubbliche/private su un server di raccolta e con la copia della chiave pubblica per il server di rapporto. Copiare il file della chiave pubblica con nome .authorized_keys.

Supponiamo che questa chiave sia la prima chiave pubblica copiata per il server di rapporto specificato.

Per generare una coppia di chiavi nel primo server di raccolta e copiare la chiave pubblica in un server di rapporto

1. Accedere a ELM-C1attraverso ssh come utente caelmadmin.

2. Commutare gli utenti su root. su –

3. Commutare gli utenti sull'account caelmservice. su – caelmservice

4. Generare la coppia di chiavi RSA utilizzando il seguente comando: ssh-keygen –t rsa

5. Premere Invio per accettare il valore predefinito per ognuno dei seguenti prompt:

■

Specificare il file in cui salvare la chiave

(/opt/CA/LogManager/.ssh/id_rsa):

■

Immettere la passphrase oppure lasciare il campo vuoto:

Immettere nuovamente la stessa passphrase:

6. Passare alla directory /opt/CA/LogManager.

7. Modificare i permessi della directory .ssh con il seguente comando: chmod 755 .ssh

8. Accedere a .ssh, in cui è salvata la chiave id_rsa.pub. cd .ssh

158 Guida all'implementazione

Configurazione dell'archivio registro eventi

9. Copiare il file id_rsa.pub in ELM-RPT, il server di destinazione CA User

Activity Reporting Module, utilizzando il seguente comando: scp id_rsa.pub caelmadmin@ELM-RPT:/tmp/authorized_keys

Verrà creato il file authorized_keys sul server di rapporto con il contenuto della chiave pubblica.

Configurazione delle chiavi per una coppia aggiuntiva raccolta/rapporto

Il secondo passaggio della configurazione dell'autenticazione non interattiva per un'architettura hub e spoke consiste nella generazione di una coppia di chiavi

RSA su ciascuno dei server di raccolta e nella copia di tale coppia nella directory

/tmp del server di rapporto comune come authorized_keys_n, dove n fa riferimento in modo univoco al server di raccolta di origine.

Per generare una coppia di chiavi RSA in server di raccolta aggiuntivi e copiare la chiave pubblica in un server di rapporto comune:

1. Accedere al secondo server di raccolta ELM-C2 mediante ssh come caelmadmin.

2. Commutare gli utenti su root.

3. Far passare gli utenti all'account caelmservice. su – caelmservice

4. Generare la coppia di chiavi RSA utilizzando il seguente comando: ssh-keygen –t rsa

5. Premere Invio per accettare il valore predefinito per ognuno dei seguenti prompt:

■ Specificare il file in cui salvare la chiave

(/opt/CA/LogManager/.ssh/id_rsa):

■

Immettere la passphrase oppure lasciare il campo vuoto:

Immettere nuovamente la stessa passphrase:

6. Modificare la directory in: /opt/CA/LogManager.

7. Modificare i permessi della directory .ssh con il seguente comando: chmod 755 .ssh

8. Accedere a .ssh, in cui è salvata la chiave id_rsa.pub.

Capitolo 5: Configurazione dei servizi 159

Configurazione dell'archivio registro eventi

9. Copiare il file id_rsa.pub nel server di destinazione CA User Activity

Reporting Module ELM-RPT utilizzando il seguente comando: scp id_rsa.pub caelmadmin@ELM-RPT:/tmp/authorized_keys_ELM-C2

Verrà creato il file authorized_keys_ELM-C2 sul server di rapporto con il contenuto della chiave pubblica.

10. Digitare yes seguito dalla password caelmadmin di ELM-RPT

11. Digitare exit.

12. Ripetere i passaggi 1-11 di questa procedura sul server di raccolta ELM-C3.

Per il passaggio 9, specificare le seguenti informazioni: scp id_rsa.pub caelmadmin@ELM-RPT:/tmp/authorized_keys_ELM-C3

13. Ripetere i passaggi 1-11 di questa procedura sul server di raccolta ELM-C4.

Per il passaggio 9, specificare le seguenti informazioni: scp id_rsa.pub caelmadmin@ELM-RPT:/tmp/authorized_keys_ELM-C4

Creazione di un file della chiave pubblica sul server di rapporto e impostazione della proprietà del file

In questo scenario sono state generate coppie di chiavi in ogni server di raccolta e è stata copiata una parte della chiave pubblica parte nel server di rapporto come i seguenti file:

■ authorized_keys

■ authorized_keys_ELM-C2

■ authorized_keys_ELM-C3

■ authorized_keys_ELM-C4

Il passaggio 3 consiste nella concatenazione dei file, nello spostamento del file della chiave pubblica RSA nella directory corretta e l'impostazione della proprietà del file e della directory a caelmservice.

Per creare un file della chiave pubblica nella directory corretta sul server di rapporto e impostare la proprietà del file

1. Accedere al server di rapporto CA User Activity Reporting Module mediante ssh come utente caelmadmin.

2. Commutare gli utenti su root.

160 Guida all'implementazione

Configurazione dell'archivio registro eventi

3. Spostarsi alla cartella CA User Activity Reporting Module: cd /opt/CA/LogManager

4. Creare la cartella .ssh. mkdir .ssh

5. Assegnare la proprietà della nuova cartella all'utente e al gruppo caelmservice: chown caelmservice:caelmservice .ssh

6. Passare alla directory /tmp

7. Aggiungere il contenuto delle chiavi pubbliche dai server di raccolta ELM-C2,

ELM-C3 e ELM-C4 per il file authorized_keys che contiene la chiave pubblica da ELM-C1. cat authorized_keys_ELM-C2 >> chiavi autorizzate cat authorized_keys_ELM-C3 >> chiavi autorizzate cat authorized_keys_ELM-C4 >> chiavi autorizzate

8. Modificare la directory in: opt/CA/LogManager/.ssh

9. Copiare il file authorized_keys dalla cartella /tmp alla cartella attuale .ssh: cp /tmp/authorized_keys .

10. Modificare la proprietà del file authorized_keys per l'account caelmservice: chown caelmservice:caelmservice authorized_keys

11. Modificare le autorizzazioni sul file: chmod 755 authorized_keys

755 stabilisce l'accesso in lettura ed esecuzione per tutti gli utenti e l'accesso in lettura, scrittura ed esecuzione per il proprietario del file

Questa fase definisce il completamento della configurazione di autenticazione senza l'uso della password tra i server di raccolta e il server di rapporto.

Capitolo 5: Configurazione dei servizi 161

Configurazione dell'archivio registro eventi

Convalida dell'autenticazione non interattiva tra i server di raccolta e i server di rapporto

È possibile convalidare la configurazione dell'autenticazione non interattiva tra i server di origine e di destinazione di entrambe le fasi dell'archiviazione automatica.

Per convalidare la configurazione tra i server di raccolta e dei rapporti

1. Accedere al server di raccolta ELM-C1attraverso ssh come caelmadmin.

2. Commutare gli utenti su root.

3. Commutare gli utenti sull'account caelmservice. su – caelmservice

4. Inserire il comando riportato di seguito: ssh caelmservice@ELM-RPT

L'accesso a ELM-RPT senza l'immissione di una passphrase confermerà l'autenticazione non interattiva tra ELM-C1 e ELM-RPT.

5. Accedere a ELM-C2 e ripetere.

6. Accedere a ELM-C3 e ripetere.

7. Accedere a ELM-C4 e ripetere.

Creazione di una struttura di directory con proprietà sul server di archiviazione remoto

Questa procedura presuppone che il server di archiviazione remoto non sia un server CA User Activity Reporting Module e che non sia necessario creare nuovi utenti, un gruppo e una struttura della directory che rispecchi quella di un server CA User Activity Reporting Module. Prima di inviare la chiave dal server di rapporto è necessario eseguire la procedura in quanto la comunicazione con il server di rapporto avviene mediante l'account caelmadmin creato dall'utente.

Per creare una struttura di file e impostare la proprietà del file sul server di archiviazione remoto

1. Accedere al server di archiviazione remoto, RSS, attraverso ssh come utente root.

2. Creare un nuovo utente chiamato caelmadmin.

3. Creare un gruppo chiamato caelmservice e creare un nuovo utente chiamato caelmservice.

162 Guida all'implementazione

Configurazione dell'archivio registro eventi

4. Creare la directory da utilizzare come percorso remoto, che per impostazione predefinita è /opt/CA/LogManager.

Nota: per utilizzare una directory diversa, specificare tale directory quando viene configurato il percorso remoto per l'archiviazione automatica.

5. Cambiare la directory principale per caelmservice in /opt/CA/LogManager o nella directory del percorso remoto. Il seguente esempio presuppone che la directory predefinita sia: usermod -d /opt/CA/LogManager caelmservice

6. Impostare le autorizzazioni del file per caelmservice. Il seguente esempio presuppone che la directory del percorso remoto predefinita sia: chown -R caelmservice:caelmservice /opt/CA/LogManager

7. Passare alla directory /opt/CA/LogManager o al percorso remoto alternativo.

8. Creare la cartella .ssh.

9. Assegnare la proprietà della cartella .ssh all'utente e al gruppo caelmservice: chown caelmservice:caelmservice .ssh

10. Disconnettersi dal server di archiviazione remota.

Configurazione delle chiavi per la coppia di archiviazione rapporto/remoto

Dopo aver configurato e convalidato l'autenticazione non interattiva da ciascun server di raccolta al server di rapporto, è necessario configurare e convalidare l'autenticazione non interattiva dal server di rapporto al server di archiviazione remoto.

Per lo scenario di esempio, la configurazione inizia con la generazione di una nuova coppia di chiavi RSA sul server di rapporto, ELM-RPT, e la copia della chiave pubblica come authorized_keys nella directory /tmp del server di archiviazione remoto, RSS.

Per generare una coppia di chiavi RSA sul server di rapporto e copiarla sul server di archiviazione remoto

1. Accedere al server di rapporto come caelmadmin.

2. Commutare gli utenti su root.

Capitolo 5: Configurazione dei servizi 163

Configurazione dell'archivio registro eventi

3. Commutare gli utenti sull'account caelmservice. su – caelmservice

4. Generare la coppia di chiavi RSA utilizzando il seguente comando: ssh-keygen –t rsa

5. Premere Invio per accettare il valore predefinito per ognuno dei seguenti prompt:

■ Specificare il file in cui salvare la chiave

(/opt/CA/LogManager/.ssh/id_rsa):

■

Immettere la passphrase oppure lasciare il campo vuoto:

Immettere nuovamente la stessa passphrase:

6. Passare alla directory /opt/CA/LogManager.

7. Modificare i permessi della directory .ssh con il seguente comando: chmod 755 .ssh

8. Passare alla cartella .ssh.

9. Copiare il file id_rsa.pub in RSS, il server di archiviazione remoto di destinazione, utilizzando il seguente comando: scp id_rsa.pub caelmadmin@RSS:/tmp/authorized_keys

Verrà creato il file authorized_keys nella directory /tmp sul server di archiviazione remoto con il contenuto della chiave pubblica.

Impostazione della proprietà del file della chiave sul server di archiviazione remoto

È possibile impostare la proprietà del file della chiave e le autorizzazioni su un server di archiviazione remoto dopo aver generato una coppia di chiavi sul server di rapporto e copiare la chiave pubblica sul server di archiviazione remoto.

Per spostare il file della chiave pubblica nella posizione corretta sul server di archiviazione remoto e impostare la proprietà del file

1. Accedere al server di archiviazione remoto come caelmadmin.

2. Commutare gli utenti su root.

164 Guida all'implementazione

Configurazione dell'archivio registro eventi

3. Modificare le directory in: /opt/CA/LogManager/.ssh.

4. Copiare il file authorized_keys dalla directory /tmp alla directory attuale

.ssh: cp /tmp/authorized_keys .

5. Modificare la proprietà del file authorized_keys con il comando: chown caelmservice:caelmservice authorized_keys

6. Modificare le autorizzazioni sul file authorized_keys: chmod 755 authorized_keys

L'autenticazione non interattiva è ora configurata tra un server di rapporto

CA User Activity Reporting Module e l'host remoto utilizzato per l'archiviazione.

Convalida dell'autenticazione non interattiva tra i server di rapporto e i server di archiviazione

Confermare che l'autenticazione non interattiva sia impostata tra il server di rapporto e il server di archiviazione remoto. Per lo scenario di esempio, il server di archiviazione remota è denominato RSS.

Per convalidare l'autenticazione non interattiva tra il server di rapporto CA

User Activity Reporting Module e il server di archiviazione

1. Accedere al server di rapporto come root.

2. Passare gli utenti a caelmservice. su – caelmservice

3. Inserire il comando riportato di seguito: ssh caelmservice@RSS

L'utente avrà accesso al server di archiviazione remoto senza immettere una passphrase.

Capitolo 5: Configurazione dei servizi 165

Configurazione dell'archivio registro eventi

Esempio: Configurazione dell'autenticazione non interattiva tra tre server

Lo scenario più semplice per la configurazione dell'autenticazione non interattiva, un prerequisito per l'archiviazione automatica, è uno scenario con due server CA User Activity Reporting Module, un server di raccolta e un server di rapporto/gestione, e un sistema di archiviazione remoto su un server UNIX o

Linux. in questo esempio si presuppone che i tre server riservati all'archiviazione automatica siano denominati:

■

Server di raccolta ELM NY

■

Server di rapporto ELM NY

■

Server di archiviazione NY

Le procedure per abilitare l'autenticazione non interattiva sono le seguenti:

1. Dal server di raccolta ELM NY, generare la coppia di chiavi RSA come caelmservice e copiare la chiave pubblica di questa coppia come authorized_keys nella directory /tmp sul server di rapporto ELM NY.

2. Creare una directory .ssh sul server di rapporto ELM NY, modificare la proprietà a caelmservice, spostare authorized_keys dalla directory /tmp alla directory .ssh e impostare la proprietà del file della chiave su caelmservice con le autorizzazioni necessarie.

3. Convalidare l'autenticazione non interattiva dal server di raccolta ELM NY al server di rapporto ELM NY.

4. Dal server di rapporto ELM NY, generare una coppia di chiavi RSA come caelmservice e copiare la chiave pubblica come authorized_keys nella directory /tmp del server di archiviazione ELM NY.

5. Dal server di archiviazione ELM NY, creare la struttura di directory

/opt/CA/LogManager. Da questo percorso, creare una directory .ssh, modificare la proprietà a caelmservice, spostare authorized_keys alla directory .ssh e impostare la proprietà del file della chiave e delle autorizzazioni necessarie.

6. Convalidare l'autenticazione non interattiva dal server di rapporto ELM NY al server di archiviazione ELM NY.

I dettagli di questi passaggi sono simili a quelli dello scenario di hub e spoke. Per uno scenario di tre server, ignorare il passaggio 2 su coppie raccolta/rapporto aggiuntive e ignorare le istruzioni del passaggio 3 sulla concatenazione dei file in authorized_keys.

166 Guida all'implementazione

Configurazione dell'archivio registro eventi

Esempio: archiviazione automatica fra tre server

Quando si utilizza la struttura raccolta-rapporto, occorre configurare l'archiviazione automatica dal server di raccolta al server di rapporto. Questa configurazione rende automatico il trasferimento di un database warm con dati del registro eventi raccolti e perfezionati al server di rapporto, dove è possibile creare i rapporti relativi. Si consiglia di pianificare la ricorrenza dell'archiviazione automatica perché si verifichi a ogni ora piuttosto che tutti i giorni, in modo da evitare di dedicare una grande quantità di tempo ogni giorno a un enorme trasferimento di dati. Scegliere una pianificazione basata sul proprio carico e decidere se sia meglio consolidare l'elaborazione o distribuirla nel corso della giornata. Quando i database vengono copiati tramite l'archiviazione automatica da un server di raccolta al relativo server di rapporto, tali database vengono eliminati dal server di raccolta.

Dopo aver identificato un server locale con molto spazio di archiviazione, è possibile configurare l'archiviazione automatica dal server di rapporto a questo server di archiviazione remota. Quando i database vengono copiati tramite archiviazione automatica da un server di rapporto a un server di archiviazione remota, tali database rimangono intatti sul server di rapporto fino al momento in cui la configurazione relativa al numero massimo di giorni di archiviazione viene superata. A quel punto, i database vengono eliminati. Il vantaggio di questa fase di archiviazione automatica è quello di proteggere i database archiviati dalla perdita di dati dovuta al fatto di non essere stati trasferiti a una posizione per l'archiviazione a lungo termine prima dell'eliminazione automatica.

Nota: prima di configurare un server remoto perché riceva i database archiviati automaticamente, occorre impostare una struttura di directory su questo server di destinazione uguale a quella sul server CA User Activity Reporting Module di origine e assegnare le varie proprietà e le autorizzazioni per l'autenticazione.

Per ulteriori informazioni, consultare "Configurazione dell'autenticazione non interattiva" nella Guida all'implementazione. Assicurarsi di seguire le istruzioni descritte in "Impostazione della proprietà di un file chiave su un host remoto".

Capitolo 5: Configurazione dei servizi 167

Configurazione dell'archivio registro eventi

In questo scenario di esempio, immaginare di essere un amministratore CA User

Activity Reporting Module del centro dati di New York, che dispone di una rete di server CA User Activity Reporting Module, ognuno con un ruolo dedicato, più un server remoto con un'elevata capacità di archiviazione. Ecco i nomi dei server utilizzati per l'archiviazione automatica:

■

Server di raccolta ELM NY

■

Server di rapporto ELM NY

■

Server di archiviazione NY

Nota: l'esempio presuppone l'esistenza di un server di gestione dedicato alla gestione del sistema di server CA User Activity Reporting Module. Questo server non è illustrato in questa sezione perché non ha un ruolo diretto nell'archiviazione automatica.

168 Guida all'implementazione

Configurazione dell'archivio registro eventi

Per configurare l'archiviazione automatica dal server di raccolta al server di rapporto e poi dal server di rapporto al server di archiviazione remota, utilizzare l'esempio seguente come guida:

1. Selezionare la scheda Amministrazione e la sottoscheda Raccolta registri.

2. Espandere la cartella Archivio registro eventi e selezionare un server di raccolta.

3. Specificare che l'archiviazione automatica ricorre a ogni ora e che la destinazione sia il server di rapporto. Inserire le credenziali di un utente CA

User Activity Reporting Module con ruolo di amministratore. Se sono presenti criteri personalizzati, questo utente deve avere diritti di modifica per la risorsa Database, il che garantisce la capacità di eliminare i database archiviati.

Capitolo 5: Configurazione dei servizi 169

Configurazione dell'archivio registro eventi

4. Selezionare il server di rapporto dall'Elenco servizi.

5. Specificare l'archiviazione automatica giornaliera e come destinazione il server remoto utilizzato come archivio. Inserire le credenziali di un account utente con ruolo di amministratore. (Facoltativo) Creare un criterio di accesso a CALM con l'azione di modifica sulla risorsa database e assegnare un utente come identità. Inserire qui le credenziali di questo utente dai privilegi limitati.

170 Guida all'implementazione

Configurazione dell'archivio registro eventi

I numeri sul diagramma seguente illustrano due configurazioni di archiviazione automatica: una dal server di raccolta al server di rapporto e l'altra dal server di rapporto a un server remoto sulla rete.

Una volta eseguita questa configurazione, l'elaborazione automatica funziona nel modo seguente:

1. Il server di raccolta ELM NY, ovvero il server di raccolta CA User Activity

Reporting Module, raccoglie e perfeziona gli eventi e li inserisce nel database hot. Quando il database hot raggiunge il numero di record specificato, viene compresso in un database warm. Dato che la pianificazione stabilisce che l'archiviazione automatica venga eseguita una volta all'ora, a ogni ora il sistema copia i database warm e li trasferisce sul server di rapporto ELM NY, ovvero il server di rapporto CA User Activity

Reporting Module. I database warm vengono eliminati dal server di raccolta

ELM NY al momento del trasferimento.

2. Il server di rapporto ELM NY memorizza i database che possono essere interrogati fino a quando raggiungono la data specificata per Numero massimo di giorni di archiviazione, trascorsa la quale vengono eliminati.

Dato che la pianificazione stabilisce che l'archiviazione automatica venga eseguita giornalmente, ogni giorno il sistema copia i database warm e li trasferisce sotto forma di database cold al server di archiviazione NY. I database cold possono rimanere sul server di archiviazione remota per un vasto periodo di tempo.

Capitolo 5: Configurazione dei servizi 171

Configurazione dell'archivio registro eventi

3. I database cold archiviati sul server di archiviazione NY della rete vengono trasferiti su una soluzione di archiviazione remota a lungo termine, dove possono restare per il numero di anni prestabilito.

Lo scopo dell'archiviazione è quello di conservare i registri eventi per il ripristino. I database cold possono essere ripristinati se si presenta l'esigenza di analizzare eventi datati che sono stati registrati. Il passaggio manuale del trasferimento dei database archiviati dal server di archiviazione on-site ad un archivio remoto a lungo termine viene illustrato nel diagramma seguente.

4. Si supponga che si verifichi una situazione che renda necessario esaminare i registri sottoposti a backup e trasferiti in una posizione remota. Per identificare il nome del database archiviato da ripristinare, cercare nel catalogo dell'archivio locale sul server di rapporto ELM NY (fare clic sulla scheda Amministrazione, selezionare Archivia query di catalogo dall'Explorer raccolta registri e fare clic su Query).

5. Recuperare il database archiviato identificato dall'archivio remoto. Copiarlo nuovamente nella directory /opt/CA/LogManager/data/archive sul server di archiviazione NY. Quindi, modificare la proprietà della directory di archiviazione in utente caelmservice.

172 Guida all'implementazione

Configurazione dell'archivio registro eventi

6. Ripristinare come segue il database sul server di rapporto di origine o su un punto di ripristino dedicato all'analisi dei registri provenienti da database ripristinati:

■

Se si sta eseguendo il ripristino sul server di rapporto ELM NY, avviare lo script restore-ca-elm.sh dal server di rapporto ELM NY specificando come host remoto Server di archiviazione NY.

Se si sta eseguendo il ripristino sul punto di ripristino ELM NY, avviare lo script restore-ca-elm.sh dal punto di ripristino ELM NY specificando come host remoto Server di archiviazione NY.

Nota: ora è possibile eseguire query e rapporti sui dati ripristinati.

Ulteriori informazioni:

Informazioni sull'archiviazione automatica

(a pagina 153)

Informazioni sui file di archivio

(a pagina 152)

Impostazioni archivio registro eventi nell'ambiente di base

(a pagina 173)

Esempio: mappa federazione di una grande impresa

(a pagina 34)

Impostazioni archivio registro eventi nell'ambiente di base

In un ambiente in cui server CA User Activity Reporting Module distinti eseguono i ruoli di server di raccolta e di rapporto, è necessario configurare i depositi eventi di log singolarmente come configurazioni locali. Se si sceglie di utilizzare il server di rapporto per la gestione del traffico di failover, è possibile impostare un valore del campo Numero massimo di righe superiore rispetto al valore visualizzato nella tabella. Se si utilizza un server di gestione come server di rapporto, è possibile che il server di gestione generi informazioni evento sotto forma di eventi di automonitoraggio.

Capitolo 5: Configurazione dei servizi 173

Configurazione dell'archivio registro eventi

Nota: è necessario configurare ogni coppia di server che partecipa all'archiviazione automatica per l'autenticazione non interattiva per il funzionamento corretto della configurazione di archiviazione automatica.

Archivio registro eventi campo

La seguente tabella di esempio vengono illustrate alcune impostazioni di base. Il server CA User Activity Reporting Module di raccolta è nominato CollSrvr-1. Il server CA User Activity Reporting Module dei rapporti è nominato RptSrvr-1. Ad esempio, esiste un server di archiviazione remoto chiamato RemoteStore-1 per archiviare i file dei database cold e i file cold posizionati nella directory /CA-

ELM_cold_storage.

Server di raccolta valori

Valori del server di rapporto

Numero massimo di righe 2000000 (predefinito)

Giorni di archiviazione massimi

Spazio su disco di archiviazione

Criterio di esportazione

Porta servizio sicuro

1 (Non valido per l'archiviazione automatica).

17001

Non valido per l'archiviazione automatica.

30 (Valido per l'archiviazione automatica e quando essa non

è configurata).

17001

Opzioni archiviazione automatica

Abilitato Sì

Tipo backup Incrementale

Frequenza

Ora di inizio

Utente EEM

Ogni ora

<CA User Activity Reporting

Module_Administrator>

Sì

Incrementale

Ogni giorno

<CA User Activity Reporting

Module_Administrator>

Password EEM

Server remoto

Utente remoto

Posizione remota

Server CA-ELM remoto

<password>

RptSrvr-1 caelmservice

/opt/CA/LogManager

Sì

<password>

RemoteStore-1 user_X

/CA-ELM_cold_storage

174 Guida all'implementazione

Configurazione dell'archivio registro eventi

Le opzioni di archiviazione automatica riportate in questo esempio consentono di spostare i file di archivio (file di database warm) dal server di raccolta al server di rapporto ogni ora. Questo mantiene spazio su disco disponibile per gli eventi in ingresso. Entrambi i server utilizzano un backup incrementale per evitare di dover spostare grandi volumi di dati in una sola volta. In seguito al trasferimento di un database warm su un server di rapporto, il database verrà eliminato automaticamente dal server di raccolta.

Nota: il valore 0 dell'Ora di avvio non ha effetto quando la Frequenza del backup

è impostata su Ogni ora.

Per l'utente EEM e la password EEM, specificare le credenziali di un utente CA

User Activity Reporting Module assegnato al ruolo predefinito di amministratore o di un ruolo personalizzato associato a un criterio personalizzato che garantisce la possibilità di eseguire l'azione di modifica sulla risorsa del database.

Per il server di rapporto, specificare/opt/CA/LogManager come Posizione remota e caelmservice, come Utente remoto, in caso di archiviazione automatica dal server di rapporto al server di archiviazione remoto. Si creano questo percorso e questo utente quando si configura l'autenticazione non interattiva tra questi server.

Le opzioni di archiviazione automatica riportate in questo esempio consentono di spostare i file di archivio del server di report al server di archiviazione remota ogni giorno a partire dalle 23.00. In seguito al trasferimento di un database all'archiviazione cold sul server remoto, il database viene conservato sul server di rapporto durante un Numero massimo di giorni di archiviazione.

Se l'archiviazione automatica non è abilitata, i database warm vengono conservati in base alle soglie configurate per il Numero massimo di giorni di archiviazione e lo Spazio di archiviazione su disco, a seconda di quale si verifica prima. I database archiviati vengono conservati nel server di rapporto durante un periodo di 30 giorni prima di essere eliminati nel caso lo spazio su disco fosse inferiore al 10%. In questo caso, il server di rapporto genera un evento di automonitoraggio ed elimina i database più datati fino a quando lo spazio su disco disponibile è superiore al 10%. È possibile creare un avviso per notificare quando questo avviene attraverso e-mail o Feed RSS.

Quando un database viene ripristinato da un server di archiviazione remoto al server di rapporto originale, viene conservato durante un periodo di 3 giorni (72 ore).

Ulteriori informazioni su ognuno di questi campi e sui rispettivi valori sono disponibili nella guida online.

Capitolo 5: Configurazione dei servizi 175

Configurazione dell'archivio registro eventi

Impostazione delle opzioni dell'archivio registro eventi

La finestra della configurazione dell'archivio registro eventi permette di impostare le opzioni globali di tutti i server CA User Activity Reporting Module. È inoltre possibile fare clic sulla freccia accanto alla voce per espandere il nodo dell'archivio registro eventi. Questa operazione consente di visualizzare i singoli server CA User Activity Reporting Module presenti nella rete. Facendo clic su tali nomi di server sarà possibile impostare le opzioni di configurazione locali specifiche di ogni server, se lo si desidera.

Gli utenti con ruolo di amministratore possono configurare qualsiasi server CA

User Activity Reporting Module da qualsiasi altro server CA User Activity

Reporting Module.

Per impostare le opzioni dell'archivio registro eventi

1. Accedere al server CA User Activity Reporting Module e selezionare la scheda Amministrazione.

La sottoscheda Raccolta registri verrà visualizzata per impostazione predefinita.

2. Fare clic sulla sottoscheda Servizi.

3. Selezionare la voce Archivio registro eventi.

Le opzioni predefinite forniscono una buona configurazione iniziale per una rete di medie dimensioni con velocità moderata.

Informazioni aggiuntive su ogni campo sono disponibili nella Guida in linea.

Nota: le tabelle Figlio della federazione e Archiviazione automatica appaiono solo quando vengono visualizzate le opzioni locali di un singolo server CA User Activity Reporting Module.

176 Guida all'implementazione

Configurazione del servizio di correlazione

Il servizio di correlazione consente di controllare come e quando vengono applicate le regole di correlazione nel proprio ambiente. Durante la configurazione del servizio di correlazione, si consiglia di:

■

A prescindere dall'effettiva intenzione di distribuire un server dedicato di correlazione.

■

I nomi e le posizioni dei server di raccolta che forniscono gli eventi per la correlazione.

■

I tipi e i nomi specifici delle regole di correlazione che si desidera applicare nel proprio ambiente.

■

Le destinazioni di notifica create per il proprio ambiente.

Applicazione di regole di correlazione e notifiche di incidente

Perché le regole di correlazione abbiano effetto nel proprio ambiente è necessario applicarle. Quando si applicano le regole di correlazione, è inoltre possibile associare destinazioni di notifica ad ogni regola.

Per applicare regole di correlazione e impostare destinazioni di notifica

1. Fare clic su Amministrazione, quindi sulla sottoscheda Servizi, quindi espandere il nodo Servizio di correlazione.

2. Selezionare il server CA User Activity Reporting Module al quale si desidera applicare le regole di correlazione.

Nel riquadro destro verranno visualizzati i dettagli relativi al server di correlazione.

3. Fare clic su Aggiungi.

Verrà visualizzata una finestra di dialogo per la selezione di una regola e una versione.

4. Selezionare la casella di controllo accanto alla categoria o alla regola da applicare. È possibile selezionare intere cartelle di categoria, singole regole o qualsiasi combinazione.

Capitolo 5: Configurazione dei servizi 177

Configurazione del servizio di correlazione

5. Selezionare la versione della regola desiderata per ogni regola selezionata per l'applicazione.

6. (Facoltativo) Selezionare una destinazione di notifica per ogni regola selezionata per l'applicazione. Se non si seleziona una destinazione, la regola non disporrà di notifica automatica. È possibile impostare manualmente una notifica per gli incidenti generati da qualsiasi regola.

7. Selezionare i server di raccolta ai quali inviare gli eventi per la correlazione dall'elenco dei server disponibile. È necessario selezionare tutti i server ai quali si desidera inviare gli eventi per la correlazione. Se non viene selezionato alcun server, nessun evento verrà inviato per la correlazione.

8. Fare clic su OK o Applica.

Utilizzo di regole di correlazione predefinite

CA User Activity Reporting Module fornisce un ampio numero di regole di correlazione predefinite da utilizzare nel proprio ambiente, organizzate per tipo o per requisiti normativi. Ad esempio, nella cartella Regole di correlazione dell'interfaccia Libreria è presente una cartella denominata PCI, contenente le regole per vari requisiti PCI. È inoltre presente una cartella denominata Identità, che contiene le regole generiche per l'autenticazione e l'autorizzazione.

Esistono tre tipi principali di regole, che è possibile includere tutte o singolarmente in ciascuna categoria. Questo argomento fornisce un esempio di scelta e applicazione di una regola di ogni tipo.

Esempio: selezione e applicazione di una regola semplice

Le regole di correlazione semplici consentono di rilevare la presenza di uno stato o un'occorrenza. Ad esempio, è possibile applicare una regola che avvisi per le eventuali attività di creazione account al di fuori del normale orario di ufficio. Prima di applicare una regola, è necessario verificare di aver creato le destinazioni di notifica desiderate per il proprio ambiente.

178 Guida all'implementazione

Configurazione del servizio di correlazione

Per selezionare e applicare la regola Creazione account al di fuori delle ore lavorative

1. Fare clic sulla scheda Amministrazione, quindi sulla sottoscheda Libreria ed espandere la cartella Regole di correlazione.

2. Espandere la cartella PCI, quindi la cartella Requisito 8 e selezionare la regola Creazione account al di fuori delle ore lavorative.

I dettagli della regola verranno visualizzati nel riquadro a destra.

3. Rivedere i dettagli della regola per verificare che sia appropriata per il proprio ambiente. In questo caso, i filtri consentono di definire l'azione di creazione account e impostare l'orario lavorativo normale per ora e giorno della settimana.

4. (Facoltativo) Fare clic su Modifica nella parte superiore del riquadro per modificare le impostazioni del filtro, se necessario. Ad esempio, è possibile modificare l'orario lavorativo normale in base alle specifiche del proprio ambiente.

Viene visualizzata la procedura guidata di gestione delle regole, popolata con i dettagli della regola.

5. Aggiungere i dettagli di notifica desiderati nella procedura guidata. I dettagli di notifica forniscono il contenuto del messaggio che verrà inviato come specificato in Destinazioni di notifica.

6. Dopo aver terminato la preparazione della regola, fare clic su Salva e chiudi.

Quando si modifica e si salva una regola di correlazione predefinita, CA User

Activity Reporting Module crea automaticamente una nuova versione, preservando la versione originale.

7. Fare clic sulla sottoscheda Servizi e quindi espandere il nodo Servizio di correlazione.

8. Selezionare il server a cui si desidera applicare la regola. Se si dispone di un server identificato come server di correlazione, selezionare tale server.

9. Fare clic su Applica nell'area Configurazione regola, quindi selezionare la nuova versione della regola Creazione account al di fuori delle ore lavorative, con la destinazione di notifica desiderata associata alla regola.

10. Fare clic su OK per chiudere la finestra di dialogo e attivare la regola.

Esempio: selezione e applicazione di una regola di conteggio

Capitolo 5: Configurazione dei servizi 179

Configurazione del servizio di correlazione

Le regole di correlazione di conteggio consentono di identificare una serie di stati o occorrenze identiche. Ad esempio, è possibile applicare una regola che avvisa di cinque o più accessi non riusciti da parte di un account di amministratore. Prima di applicare una regola, è necessario verificare di aver creato le destinazioni di notifica desiderate per il proprio ambiente.

Per selezionare e applicare la regola 5 tentativi di accesso non riuscito per

Account amministratore

1. Fare clic sulla scheda Amministrazione, quindi sulla sottoscheda Libreria ed espandere la cartella Regole di correlazione.

2. Espandere la cartella Gestione minacce, quindi la cartella Attività account e accesso sospette e selezionare la regola 5 tentativi di accesso non riuscito per Account amministratore.

I dettagli della regola verranno visualizzati nel riquadro a destra.

3. Rivedere i dettagli della regola per verificare che sia appropriata per il proprio ambiente. In questo caso, i filtri consentono di definire un account amministratore come nome utente appartenente all'elenco con chiave

'Administrators' e di impostare la soglia di conteggio su 5 eventi in 60 minuti.

4. (Facoltativo) Fare clic su Modifica nella parte superiore del riquadro per modificare le impostazioni del filtro, se necessario. Ad esempio, è possibile modificare la soglia temporale in 3 eventi in 30 minuti.

Viene visualizzata la procedura guidata di gestione delle regole, popolata con i dettagli della regola.

5. Aggiungere i dettagli di notifica desiderati nella procedura guidata. I dettagli di notifica forniscono il contenuto del messaggio che verrà inviato come specificato in Destinazioni di notifica.

6. Dopo aver terminato la preparazione della regola, fare clic su Salva e chiudi.

Quando si modifica e si salva una regola di correlazione predefinita, CA User

Activity Reporting Module crea automaticamente una nuova versione, preservando la versione originale.

7. Fare clic sulla sottoscheda Servizi e quindi espandere il nodo Servizio di correlazione.

8. Selezionare il server a cui si desidera applicare la regola. Se si dispone di un server identificato come server di correlazione, selezionare tale server.

9. Fare clic su Applica nell'area Configurazione regola, quindi selezionare la nuova versione della regola 5 tentativi di accesso non riuscito per Account amministratore, con la destinazione di notifica che si desidera associare alla regola.

180 Guida all'implementazione

Configurazione del servizio di correlazione

10. Fare clic su OK per chiudere la finestra di dialogo e attivare la regola.

Esempio: selezione e applicazione di una regola di transizione di stato

Le regole di correlazione di transizione di stato consentono di identificare una serie di stati o occorrenze una dopo l'altra. Ad esempio, è possibile applicare una regola che avvisi per una serie di accessi non riusciti seguita da un accesso riuscito da parte dello stesso account utente. Prima di applicare una regola, è necessario verificare di aver creato le destinazioni di notifica desiderate per il proprio ambiente.

1. Fare clic sulla scheda Amministrazione, quindi sulla sottoscheda Libreria ed espandere la cartella Regole di correlazione.

2. Espandere la cartella Identità, quindi la cartella Autenticazione e selezionare la regola Accessi non riusciti seguiti da accesso corretto.

I dettagli della regola verranno visualizzati nel riquadro a destra.

3. Rivedere i dettagli della regola per verificare che sia appropriata per il proprio ambiente. In questo caso, nel riquadro Dettagli vengono visualizzati i due stati registrati dalla regola. Il primo è cinque o più accessi non riusciti per lo stesso account utente o identità. Il secondo è un accesso riuscito da parte dello stesso utente o identità.

4. (Facoltativo) Fare clic su Modifica nella parte superiore del riquadro per modificare le impostazioni relative allo stato, se necessario.

Verrà visualizzata la procedura guidata di gestione delle regole, che mostra i due stati che costituiscono la regola.

5. Fare doppio clic su qualsiasi stato che si desidera modificare.

Verrà visualizzata la procedura guidata Definizione dello stato, con i dettagli relativi allo stato.

6. Apportare le modifiche desiderate allo stato selezionato, quindi fare clic su

Salva e chiudi per tornare alla procedura guidata di gestione delle regole. Ad esempio, il primo stato verifica la presenza di 5 accessi non riusciti in 10 minuti. È possibile modificare la soglia relativa al numero di accessi non riusciti, il tempo o entrambi.

7. Aggiungere i dettagli di notifica desiderati nella procedura guidata. I dettagli di notifica forniscono il contenuto del messaggio che verrà inviato come specificato in Destinazioni di notifica.

8. Dopo aver terminato la preparazione della regola, fare clic su Salva e chiudi.

Quando si modifica e si salva una regola di correlazione predefinita, CA User

Activity Reporting Module crea automaticamente una nuova versione, preservando la versione originale.

Capitolo 5: Configurazione dei servizi 181

Configurazione del servizio di correlazione

9. Fare clic sulla sottoscheda Servizi e quindi espandere il nodo Servizio di correlazione.

10. Selezionare il server a cui si desidera applicare la regola. Se si dispone di un server identificato come server di correlazione, selezionare tale server.

11. Fare clic su Applica nell'area Configurazione regola, quindi selezionare la nuova versione della regola Accessi non riusciti seguiti da accesso corretto, con la destinazione di notifica desiderata associata alla regola.

12. Fare clic su OK per chiudere la finestra di dialogo e attivare la regola.

Ulteriori informazioni:

Applicazione di regole di correlazione e notifiche di incidente

(a pagina 177)

Impostazione dei server di raccolta

È possibile impostare i server di raccolta ai quali inoltrare gli eventi per la correlazione in ambienti multiserver. L'impostazione dei server di raccolta consente di gestire ed eseguire le regole di correlazione in un unico server, che può essere un server di correlazione dedicato oppure un server con ruoli condivisi. Sarà quindi possibile visualizzare incidenti da tutti i server di raccolta selezionati.

Per impostare i server di raccolta

1. Fare clic su Amministrazione, quindi sulla sottoscheda Servizi, quindi espandere il nodo Servizio di correlazione.

2. Selezionare il server CA User Activity Reporting Module server al quale inoltrare gli eventi per la correlazione. Se si dispone di un server di correlazione dedicato, selezionare il nome del server.

Nel riquadro destro verranno visualizzati i dettagli relativi al server di correlazione.

3. Utilizzare il controllo pilota Server di raccolta per selezionare i server.

Verificare che tutti i server che raccolgono eventi per la correlazione siano presenti nella colonna Selezionati.

182 Guida all'implementazione

Configurazione del servizio di correlazione

Come progettare e applicare le notifiche di incidente

È possibile configurare notifiche per le regole di correlazione. Le notifiche consentono di trasmettere informazioni chiave sugli incidenti rilevati al personale specificato, oppure di creare automaticamente ticket per il service desk CA IT PAM.

Per progettare e configurare le notifiche nel proprio ambiente, attenersi alla seguente procedura:

1. Pianificare e creare le destinazioni di notifica.

2. Selezionare le regole di correlazione predefinite, oppure creare regole personalizzate da utilizzare nel proprio ambiente.

3. Aggiungere dettagli di notifica alle regole per le quali si desidera impostare le notifiche.

4. Applicare le regole di correlazione ai server CA User Activity Reporting

Module e assegnare le destinazioni di notifica.

Ulteriori informazioni:

Come creare una notifica di destinazione

(a pagina 184)

Applicazione di regole di correlazione e notifiche di incidente

(a pagina 177)

Capitolo 5: Configurazione dei servizi 183

Configurazione del servizio di correlazione

Come creare una notifica di destinazione

È possibile creare oggetti destinazione di notifica da utilizzare nelle regole di correlazione. Le destinazioni consentono di applicare impostazioni di recapito comuni a diverse regole; è possibile assegnare una destinazione a più regole, in base alle proprie esigenze. L'assegnazione delle destinazioni può essere eseguita durante l'applicazione della regola di correlazione, oppure dopo la creazione di un incidente.

Per utilizzare un oggetto destinazione di notifica, attenersi alla seguente procedura:

1. Aprire la procedura guidata di gestione delle destinazioni di notifica e impostare un nome destinazione e una descrizione.

2. Impostare i parametri per i tipi di destinazione desiderati: a. Messaggi di posta elettronica b. Processi CA IT PAM c. trap SNMP

Un oggetto notifica di destinazione può disporre di più tipi di notifica.

Ulteriori informazioni:

Apertura della procedura guidata di gestione delle destinazioni di notifica

pagina 184)

Impostazione delle destinazioni di posta elettronica

Impostazione di una destinazione di processo

Impostazione di destinazioni SNMP

(a pagina 186)

Apertura della procedura guidata di gestione delle destinazioni di notifica

Per creare una destinazione di notifica è necessario aprire la procedura guidata.

Per aprire la procedura guidata di gestione delle destinazioni di notifica

1. Fare clic sulla scheda Amministrazione, sulla sottoscheda Libreria, quindi sulla cartella Destinazioni notifica.

2. Fare clic su Nuova notifica.

Verrà visualizzata la procedura guidata Gestisci notifica.

184 Guida all'implementazione

Configurazione del servizio di correlazione

Ulteriori informazioni:

Impostazione delle destinazioni di posta elettronica

Impostazione di una destinazione di processo

Impostazione di destinazioni SNMP

(a pagina 186)

Impostazione delle destinazioni di posta elettronica

È possibile impostare destinazioni di posta elettronica per le notifiche, per informare il personale appropriato di incidenti relativi al relativo ruolo o responsabilità.

Per impostare le destinazioni di posta elettronica

1. Aprire la procedura guidata di gestione delle destinazioni di notifica.

2. Impostare i dettagli di identificazione e procedere al passaggio Notifiche.

3. Fare clic sulla scheda Posta elettronica e selezionare Attiva notifica tramite posta elettronica.

4. Inserire almeno un indirizzo di posta elettronica destinatario. È possibile inserire più indirizzi separati da virgole.

5. (Facoltativo) Immettere l'indirizzo di posta elettronica di origine nel campo

Da.

6. Aggiungere le altre destinazioni desiderate, oppure fare clic su Salva e chiudi.

Impostazione di una destinazione di processo

È possibile impostare un processo IT PAM come destinazione di notifica. La notifica passa le informazioni di incidente CA User Activity Reporting Module a

CA ServiceDesk o ad applicazioni di terze parti che utilizzano IT PAM. È possibile impostare una destinazione di processo identificando un processo

IT PAM valido. È possibile definire le informazioni di incidente che costituiranno i parametri di processo utilizzando i dettagli di notifica.

Per ulteriori informazioni sui processi IT PAM, vedere la Guida

all'amministrazione di CA User Activity Reporting Module.

Capitolo 5: Configurazione dei servizi 185

Configurazione del servizio di correlazione

Per impostare le destinazioni di processo

1. Aprire la procedura guidata di gestione delle destinazioni di notifica, impostare i dettagli di identificazione e procedere al passaggio Notifiche.

2. Fare clic sulla scheda Processo e selezionare Abilita automazione processi.

3. Immettere il nome del processo IT PAM al quale si desidera passare le informazioni di incidente, ad esempio:

/CA_ELM/EventAlertOutput

4. Aggiungere le altre destinazioni desiderate, oppure fare clic su Salva e chiudi.

Impostazione di destinazioni SNMP

È possibile impostare destinazioni SNMP, operazione che consente di utilizzare i trap SNMP per inviare le informazioni di incidente a sistemi di gestione di terze parti. Per ulteriori informazioni sui trap SNMP, vedere la Guida

all'amministrazione di CA User Activity Reporting Module.

Per impostare le destinazioni SNMP

1. Aprire la procedura guidata di gestione delle destinazioni di notifica, impostare i dettagli di identificazione e procedere al passaggio Notifiche.

2. Fare clic sulla scheda SNMP e selezionare Abilita trap SNMP.

3. (Facoltativo) Per inviare l'avviso utilizzando SNMP v3, selezionare SNMP versione 3. L'impostazione predefinita è SNMP versione 2.

4. (Facoltativo) Se si seleziona SNMP versione 3, fare clic sul pulsante

Protezione V3 per impostare l'autenticazione o la crittografia nella finestra

Parametri di protezione.

5. Immettere le informazioni appropriate nei campi Server di destinazione e

Porta di destinazione per identificare la destinazione degli eventi trasmessi tramite SNMP.

6. (Facoltativo) Selezionare un'altra riga Server di destinazione/Porta di destinazione e immettere un'altra coppia di valori server/porta.

7. Aggiungere le altre destinazioni desiderate, oppure fare clic su Salva e chiudi.

186 Guida all'implementazione

Considerazioni sul servizio incidenti

È possibile controllare il modo in cui il servizio incidenti archivia gli eventi e crea gli incidenti per un server CA User Activity Reporting Module selezionato. È possibile impostare i valori seguenti:

Data di scadenza

Specificare per quanti giorni il servizio conserva gli incidenti nel database incidenti. Se il valore è 0, gli eventi non vengono mai eliminati. Gli incidenti scaduti non vengono visualizzati.

Limite di generazione incidente

Specifica la frequenza con cui una singola regola di correlazione può creare incidenti, consentendo di ridurre gli incidenti multipli indesiderati. Per gli scopi dei limiti di generazione incidente, le diverse versioni di una stessa regola vengono considerate regole separate. Di conseguenza, se nell'ambiente sono state applicate più versioni di una regola, queste vengono limitate separatamente. I valori limite includono:

Abilitato

Indica se vengono applicati i limiti di generazione incidente.

Conteggio

Ora

Imposta un limite per il numero di incidenti generati da una singola regola. Questo valore opera in congiunzione con il valore Ora, se tale valore è superiore a 0. Quando vengono raggiunti questi valori, il

Servizio incidenti applica il limite Durata del blocco. Se si imposta

Conteggio su 3, e Ora su 10, il limite viene applicato quando una singola regola genera più di 3 eventi in 10 secondi.

Imposta una soglia, in secondi, per il numero di incidenti generati da una singola regola. Questo valore opera in congiunzione con il valore

Conteggio, se tale valore è superiore a 0. Quando vengono raggiunti questi valori, il Servizio incidenti applica il limite Durata del blocco. Se si imposta Conteggio su 3, e Ora su 10, il limite viene applicato quando una singola regola genera più di 3 eventi in 10 secondi.

Durata del blocco

Specifica l'intervallo, in secondi, in cui la creazione di ulteriori incidenti da parte di una regola viene bloccata. Quando il limite viene raggiunto, la regola non crea incidenti finché non scade il tempo impostato.

Capitolo 5: Configurazione dei servizi 187

Considerazioni su ODBC Server

È possibile installare un client ODBC o JDBC per accedere al deposito eventi di log di CA User Activity Reporting Module da un'applicazione esterna come SAP

BusinessObjects Crystal Reports.

Da questa area di configurazione è possibile eseguire le seguenti attività:

■

Abilitare o disabilitare l'accesso di ODBC e di JDBC al deposito eventi di log.

■

Impostare la porta di servizio utilizzata per le comunicazioni fra il client

ODBC o JDBC ed il server CA User Activity Reporting Module

■

Specificare se le comunicazioni fra il client ODBC o JDBC e CA User Activity

Reporting Module sono crittografate.

Le descrizioni dei campi sono le seguenti:

Abilita servizio

Indica se i client ODBC o JDBC possono accedere ai dati nel deposito eventi di log. Selezionare questa casella di controllo per abilitare l'accesso esterno agli eventi. Deselezionare la casella di controllo per disabilitare l'accesso esterno.

Il servizio ODBC non è attualmente compatibile con FIPS. Deselezionare questa casella di controllo per prevenire l'accesso di ODBC e JDBC in caso di esecuzione in modalità FIPS. In questo modo viene evitato l'accesso non conforme ai dati evento. Se si desidera disabilitare i servizi ODBC e JDBC per eseguire operazioni in modalità FIPS, assicurarsi di impostare questo valore per ogni server di una federazione.

Porta di ascolto del server

Specifica il numero di porta utilizzato dai servizi ODBC o JDBC. Il valore predefinito è 17002. Il server CA User Activity Reporting Module rifiuta i tentativi di connessione quando è specificato un valore diverso nella stringa di origine dati di Windows o dell'URL JDBC.

Crittografato (SSL)

Indica se utilizzare la crittografia per le comunicazioni fra il client ODBC ed il server CA User Activity Reporting Module. Il server CA User Activity

Reporting Module rifiuta i tentativi di connessione quando il valore in origine dati di Windows o nell'URL JDBC non corrisponde a questa impostazione.

188 Guida all'implementazione

Considerazioni sul server di rapporto

Timeout di sessione (minuti)

Specifica il numero di minuti in cui una sessione inattiva resterà aperta prima che si chiuda automaticamente.

Livello di log

Definisce il tipo e il livello di dettaglio presenti nel file in registrazione.

L'elenco a discesa è disposto in ordine di dettaglio: la prima voce corrisponde alla meno dettagliata.

Applica a tutti i registratori

Controlla se l'impostazione del livello di log sovrascrive tutte le impostazioni di log dal file delle proprietà del log. Questa impostazione si applica soltanto quando l'impostazione del livello di log è inferiore (ovvero più dettagliata) rispetto a quella predefinita.

Considerazioni sul server di rapporto

Il server di rapporto controlla l'amministrazione dei rapporti distribuiti automaticamente, il relativo aspetto in formato PDF e la conservazione di rapporti e avvisi. Dall'area di configurazione del server è possibile eseguire le seguenti attività:

■

Nell'area Configurazioni rapporto, controllare il nome ed il logo della società, i caratteri e le altre impostazioni dei rapporti PDF.

■

Nell'area Memorizzazione avvisi, impostare il totale degli avvisi memorizzati ed il numero di giorni in cui saranno conservati:

Numero massimo di avvisi

Definisce il numero massimo di avvisi conservati dal server di rapporto per la consultazione.

Minimo: 50

Massimo: 1000

■

Memorizzazione avvisi

Definisce il numero di giorni in cui gli avvisi vengono conservati, fino al numero massimo possibile.

Minimo: 1

Massimo: 30

Impostare, nell'area Memorizzazione rapporti, i criteri di memorizzazione per ogni tipo di ricorrenza dei rapporti pianificati.

Capitolo 5: Configurazione dei servizi 189

Configurazione della sottoscrizione

■

Impostare la frequenza con cui l'utilità di memorizzazione ricercherà i rapporti da eliminare automaticamente in base a tali criteri. Ad esempio, se l'utilità di memorizzazione dei rapporti viene eseguita giornalmente, verranno eliminati ogni giorno i rapporti con un'età superiore a quella massima specificata.

Configurazione della sottoscrizione

Dopo aver definito l'architettura di sottoscrizione, è possibile configurare l'ambiente CA User Activity Reporting Module per l'implementazione degli aggiornamenti di sottoscrizione.

Di seguito viene riportata la procedura di configurazione della sottoscrizione.

Per ulteriori dettagli riguardo ciascun passaggio, consultare le procedure corrispondenti.

1. Utilizzare l'architettura di sottoscrizione come guida per configurare ciascun server come proxy o client di sottoscrizione. Se necessario, specificare uno o più proxy come proxy non in linea. Specificare ciascun server come proxy o client a livello locale.

2. Configurare gli elenchi proxy per entrambi gli aggiornamenti client e dei contenuti. È possibile specificare un elenco proxy per gli aggiornamenti dei client a livello globale per l'intero ambiente, oppure impostare gli elenchi proxy locali per ciascun server. Per gli aggiornamenti dei contenuti, è possibile specificare solo un elenco di proxy a livello globale.

3. Selezionare i moduli che si desidera scaricare È possibile selezionare i moduli a livello globale o locale per ciascun server.

4. Impostare la pianificazione di sottoscrizione. È possibile eseguire la pianificazione a livello globale o locale per ciascun server.

Ulteriori informazioni:

Configurazione di un proxy di sottoscrizione in linea

(a pagina 191)

Configurazione di un proxy di sottoscrizione non in linea

(a pagina 192)

Configurazione di un client di sottoscrizione

(a pagina 193)

Configurazione degli elenchi proxy

(a pagina 194)

Selezione dei moduli per la sottoscrizione in linea

(a pagina 197)

Download e selezione dei moduli per la sottoscrizione non in linea

199)

Definizione della pianificazione di sottoscrizione

(a pagina 201)

190 Guida all'implementazione

Configurazione della sottoscrizione

Configurazione di un proxy di sottoscrizione in linea

Il proxy di sottoscrizione in linea contatta il server di sottoscrizione CA

Technologies per scaricare gli aggiornamenti più recenti di CA User Activity

Reporting Module e distribuirli ai client di sottoscrizione corrispondenti.

Il proxy di sottoscrizione in linea predefinito esegue il download degli aggiornamenti per i client di sottoscrizione nel caso in cui nessun altro proxy sia configurato o disponibile. Il primo server CA User Activity Reporting Module installato viene configurato come proxy di sottoscrizione predefinito. Tuttavia, è possibile specificare qualsiasi proxy in linea come proxy di sottoscrizione predefinito. È possibile configurare il proxy di sottoscrizione predefinito solo a livello globale.

Per configurare un proxy di sottoscrizione in linea

1. Fare clic sulla scheda Amministrazione, quindi sulla sottoscheda Servizi.

2. Fare clic su Servizio di sottoscrizione.

Viene visualizzata la finestra Configurazione di servizio globale per il Servizio di sottoscrizione.

Nota: per specificare un proxy di sottoscrizione predefinito diverso da quello configurato al momento dell'installazione, fare clic su

Amministrazione e immettere il nome del server nel campo Proxy di sottoscrizione predefinito.

3. In Elenco servizi, espandere Servizio di sottoscrizione e selezionare il server da configurare.

Viene visualizzata la configurazione del Servizio di sottoscrizione per il server CA User Activity Reporting Module selezionato.

4. Fare clic sulla scheda Amministrazione.

5. Deselezionare la casella di controllo Proxy di sottoscrizione e selezionare

Proxy di sottoscrizione in linea.

6. Verificare che l'URL del feed RSS per gli aggiornamenti di sottoscrizione sia corretto. Se si desidera che il proxy utilizzi un feed RSS diverso dall'impostazione globale, passare alla configurazione locale e immettere l'URL RSS corretto.

7. Se il server deve contattare il server di sottoscrizione CA Technologies attraverso un server proxy HTTP diverso da quello ereditato, passare alla configurazione locale e configurare il proxy HTTP desiderato.

8. Fare clic su Salva.

Capitolo 5: Configurazione dei servizi 191

Configurazione della sottoscrizione

Ulteriori informazioni:

Configurazione della sottoscrizione

Configurazione di un proxy di sottoscrizione non in linea

Il proxy di sottoscrizione non in linea fornisce gli aggiornamenti CA User Activity

Reporting Module ai relativi clienti senza la necessità di effettuare la connessione a Internet. Questo tipo di configurazione consente di escludere alcuni o tutti i server CA User Activity Reporting Module da Internet.

Prima di eseguire l'aggiornamento della sottoscrizione non in linea, copiare manualmente i file di aggiornamento non in linea dal sito FTP di CA

Technologies su un proxy non in linea utilizzando un supporto fisico o SCP, incluso in CA User Activity Reporting Module. Copiare i file di aggiornamento nel seguente percorso: /opt/CA/LogManager/data/subscription/offline.

I client di sottoscrizione dei server proxy non in linea ricevono tutti gli aggiornamenti installati manualmente sul proxy non in linea, indipendentemente da eventuali moduli selezionati per il client a livello locale.

Pertanto negli ambienti di sottoscrizione misti, con proxy di sottoscrizione in linea e non in linea, si raccomanda di non includere i proxy non in linea nell'elenco dei proxy per i client di sottoscrizione in linea. In caso contrario, il client di sottoscrizione in linea riceverà automaticamente tutti gli aggiornamenti installati manualmente sul server proxy non in linea, anziché i moduli selezionati per il client.

Per configurare un proxy di sottoscrizione non in linea

1. Fare clic sulla scheda Amministrazione, quindi sulla sottoscheda Servizi.

2. Espandere il servizio di sottoscrizione e selezionare il server da configurare.

Viene visualizzata la configurazione del Servizio di sottoscrizione per il server CA User Activity Reporting Module selezionato.

3. Fare clic sulla scheda Amministrazione.

4. Selezionare la casella di controllo Proxy di sottoscrizione e selezionare Proxy di sottoscrizione non in linea.

192 Guida all'implementazione

Configurazione della sottoscrizione

5. Selezionare il file .zip contenente i file di sottoscrizione non in linea che si desidera installare dall'elenco a discesa File.

Nota: per eseguire questa procedura il pacchetto di sottoscrizione non in linea deve essere stato copiato nella posizione corretta sul server. In caso contrario, viene visualizzato un prompt.

6. Fare clic su Salva.

Ulteriori informazioni:

Configurazione della sottoscrizione

Configurazione di un client di sottoscrizione

I client di sottoscrizione eseguono il download degli aggiornamenti CA User

Activity Reporting Module più recenti dai proxy di sottoscrizione. Dopo aver recuperato gli aggiornamenti, il client installa i componenti scaricati.

Tutti i server CA User Activity Reporting Module che non sono configurati come proxy di sottoscrizione sono client di sottoscrizione per impostazione predefinita. Non è necessario configurare un server a livello locale come client, salvo il caso in cui si desideri eseguire l'override delle impostazioni di sottoscrizione impostate a livello globale.

Un client di sottoscrizione non è in grado di recuperare gli aggiornamenti da un proxy di sottoscrizione prima del completamento del download e dell'installazione degli stessi. Il client tenta di recuperare gli aggiornamenti da ciascun server proxy incluso nell'elenco configurato. Se nessun proxy ha completato l'installazione degli aggiornamenti richiesti dal client, il client invia nuovamente la richiesta ogni 5 minuti fino al completamento dell'aggiornamento. Se il client non è in grado di scaricare gli aggiornamenti dopo un periodo di un'ora, l'aggiornamento viene annullato, e il client tenterà nuovamente di eseguire l'aggiornamento durante la pianificazione successiva.

Durante il processo, vengono visualizzati dei messaggi riguardanti lo stato dell'aggiornamento nel log Eventi con monitoraggio automatico.

Per configurare un client di sottoscrizione

1. Fare clic sulla scheda Amministrazione, quindi sulla sottoscheda Servizi.

2. Espandere il servizio di sottoscrizione e selezionare il server da configurare.

Viene visualizzata la configurazione del Servizio di sottoscrizione per il server CA User Activity Reporting Module selezionato.

Capitolo 5: Configurazione dei servizi 193

Configurazione della sottoscrizione

Nota:

3. Identificare il server selezionato come client deselezionando la caselle di controllo del proxy di sottoscrizione.

4. Dal momento che i client di sottoscrizione contattano i proxy di sottoscrizione attraverso la rete interna, non è necessario configurare le impostazioni del proxy HTTP locale per un singolo server client.

5. Fare clic su Salva.

Ulteriori informazioni:

Configurazione della sottoscrizione

Configurazione degli elenchi proxy

Nel caso in cui vengano configurati più proxy di sottoscrizione per l'ambiente in uso, è possibile configurare gli elenchi proxy per gli aggiornamenti del client. Se un proxy specificato non è disponibile al momento della richiesta di aggiornamento del client, il client contatta ciascun proxy incluso nell'elenco fino al completamento del download degli aggiornamenti. È possibile configurare un elenco proxy per gli aggiornamenti dei client a livello globale per l'intero ambiente CA User Activity Reporting Module, oppure a livello locale per ciascun client di sottoscrizione.

Se si dispone di più proxy di sottoscrizione, è possibile configurare elenchi proxy per gli aggiornamenti dei contenuti Questi server ricevono gli aggiornamenti dei contenuti, ad esempio query, rapporti e regole di correlazione, e li distribuiscono al server di gestione dove vengono archiviati ed utilizzati da CA

User Activity Reporting Module. È possibile configurare un elenco proxy per gli aggiornamenti dei contenuti solo a livello globale.

Gli elenchi proxy consentono di verificare che gli aggiornamenti di sottoscrizione vengano recuperati e distribuiti nei tempi previsti. Anche nel caso di ambienti

CA User Activity Reporting Module di piccole dimensioni, si consiglia di configurare almeno un proxy di backup per il client e gli aggiornamenti dei contenuti, nel caso in cui il proxy primario non fosse disponibile.

Per configurare un elenco proxy

1. Fare clic sulla scheda Amministrazione, quindi sulla sottoscheda Servizi.

2. Fare clic su Servizio di sottoscrizione.

Viene visualizzata la Configurazione di servizio globale per il Servizio di sottoscrizione.

194 Guida all'implementazione

Configurazione della sottoscrizione

3. Eseguire una delle seguenti operazioni:

■

Per specificare un elenco proxy globale per l'intero ambiente CA User

Activity Reporting Module, fare clic sulla scheda Amministrazione. oppure

■ Per specificare un elenco proxy locale per un client di sottoscrizione specifico, fare clic sul nome del server, selezionare la scheda

Amministrazione e passare alla configurazione locale.

4. Aggiungere i server proxy desiderati all'elenco proxy.

Importante: In un ambiente di sottoscrizione misto, con proxy di sottoscrizione in linea e non in linea, non includere i proxy non in linea nell'elenco dei proxy per i client di sottoscrizione in linea. In caso contrario, il client di sottoscrizione in linea riceverà automaticamente tutti gli aggiornamenti installati manualmente sul server proxy non in linea, anziché i moduli selezionati.

5. Fare clic su Salva.

Ulteriori informazioni:

Configurazione della sottoscrizione

Informazioni sui moduli da scaricare

Tipo modulo:

Contenuto

Gli aggiornamenti vengono inclusi nei moduli scaricati tramite il server di sottoscrizione CA Technologies. Per accedere ai moduli disponibili, utilizzare l'URL del feed RSS fornito da CA Technologies oppure, in caso di sottoscrizione non in linea, utilizzare il sito FTP di CA Technologies. CA Technologies determina il contenuto di ciascun modulo.

La seguente tabella descrive ogni modulo, la relativa funzione e la frequenza con cui CA rende disponibili gli aggiornamenti:

Descrizione Frequenza

Aggiorna Elenco query, Elenco rapporti e Regole di correlazione con il nuovo contenuto. Il proxy per gli aggiornamenti di contenuto invia automaticamente il contenuto al repository del server di gestione.

Ogni mese

Capitolo 5: Configurazione dei servizi 195

Configurazione della sottoscrizione

Tipo modulo:

Integrazioni

Sistema operativo

Agenti

Descrizione

Aggiorna i connettori quando si esegue la Procedura guidata di sottoscrizione e si seleziona Aggiornamenti connettore.

Ogni mese

Aggiorna il sistema operativo installato su ciascun server CA

User Activity Reporting Module.

Periodicament e

Aggiorna gli agenti quando si esegue la Procedura guidata di sottoscrizione e si seleziona Aggiornamenti agente.

Periodicament e

Service Pack per Log

Manager

Aggiorna il prodotto CA User Activity Reporting Module su ciascun sistema con il Service Pack specificato.

Versione di Log Manager Aggiorna il prodotto CA User Activity Reporting Module in ogni sistema alla versione indicata.

Frequenza

Ogni trimestre

Periodicament e

È possibile selezionare un elenco dei moduli da scaricare per l'ambiente CA User

Activity Reporting Module a livello globale. Il singolo proxy di sottoscrizione e i server client ereditano queste impostazioni globali. Inoltre, è possibile sostituire le impostazioni globali configurando un elenco dei moduli da scaricare a livello locale per ciascun server CA User Activity Reporting Module.

Nota: un proxy di sottoscrizione non può distribuire un modulo a un client se il non ha ancora eseguito l'installazione del modulo. Quando si selezionano i moduli per un proxy di sottoscrizione, includere almeno tutti i moduli selezionati per i client del proxy.

È possibile eseguire gli aggiornamenti per l'ambiente CA User Activity Reporting

Module utilizzando uno o entrambi i metodi riportati di seguito:

1. Aggiornamento automatico: selezionare i moduli in anticipo e specificare una pianificazione per il download. Il servizio di sottoscrizione scarica e installa automaticamente i moduli selezionati, in base alla pianificazione specificata.

2. Aggiornamento manuale: selezionare i moduli quando richiesti utilizzando la funzionalità Aggiorna ora del servizio di sottoscrizione per eseguire il download e l'installazione di tali moduli nel momento desiderato.

196 Guida all'implementazione

Configurazione della sottoscrizione

Poiché i moduli Contenuto, Integrazione, Sistema operativo e Agente vengono aggiornati regolarmente, si consiglia di impostare la pianificazione di sottoscrizione per il download automatico dei moduli almeno con cadenza mensile. Gli aggiornamenti alla versione e al service pack di Gestione log sono meno frequenti e possono richiedere un'ulteriore considerazione e pianificazione prima di essere applicati all'ambiente CA User Activity Reporting

Module. Si consiglia di scaricare questi tipi di aggiornamenti manualmente, se necessario.

Quando un nuovo modulo è disponibile viene visualizzato nel feed RSS di sottoscrizione oppure, in caso di sottoscrizione non in linea, sul sito FTP di sottoscrizione non in linea di CA Technologies. Dal momento che i moduli disponibili per il download cambiano a seconda del ciclo di aggiornamenti, si consiglia di monitorare l'elenco disponibile per assicurarsi che tutti i moduli necessari siano selezionati. Inoltre è possibile controllare il sito del supporto tecnico di Ca all'indirizzo

http://ca.com/support

per verificare se sono disponibili versioni e service pack nuovi per Gestione log.

Ulteriori informazioni:

Selezione dei moduli per la sottoscrizione in linea

(a pagina 197)

Download e selezione dei moduli per la sottoscrizione non in linea

199)

Pianificazione degli aggiornamenti di sottoscrizione

Configurazione della sottoscrizione

Selezione dei moduli per la sottoscrizione in linea

Gli aggiornamenti della sottoscrizione CA User Activity Reporting Module attualmente disponibili sono elencati nel feed RSS fornito da CA Technologies.

L'URL del feed RSS viene fornito per impostazione predefinita nella scheda

Amministrazione del servizio di sottoscrizione in fase di installazione.

Non appena disponibili, i nuovi moduli verranno visualizzati nel feed RSS sottoscrizione. Controllare periodicamente l'elenco dei moduli disponibili per assicurarsi che tutti i moduli necessari siano selezionati. Inoltre è possibile controllare il sito del supporto tecnico di Ca all'indirizzo

http://ca.com/support

per verificare se sono disponibili versioni e service pack nuovi per Gestione log.

Capitolo 5: Configurazione dei servizi 197

Configurazione della sottoscrizione

Per selezionare i moduli da scaricare

1. Fare clic sulla scheda Amministrazione, quindi sulla sottoscheda Servizi.

2. Fare clic su Servizio di sottoscrizione.

Viene visualizzata la Configurazione di servizio globale per il Servizio di sottoscrizione.

3. Eseguire una delle seguenti operazioni:

■ Per selezionare i moduli da scaricare a livello globale per l'intero ambiente CA User Activity Reporting Module, fare clic sulla scheda

Amministrazione. oppure

■ Per selezionare i moduli da scaricare a livello locale per un server specifico, fare clic sul nome del server, selezionare la scheda

Amministrazione e passare alla configurazione locale in Moduli selezionati per il download.

4. Verificare che l'indirizzo RSS visualizzato nel campo URL del feed RSS sia corretto, oppure per configurare un indirizzo RSS personalizzato per un server specifico, passare alla configurazione locale e immettere l'URL del feed RSS.

5. Fare clic su Sfoglia.

Viene visualizzata la finestra di dialogo Moduli disponibili per il download.

6. Selezionare i moduli da scaricare.

Nota: per ricevere i nuovi aggiornamenti da CA non appena disponibili, selezionare i moduli con aggiornamento mensile e periodico e impostare la pianificazione di sottoscrizione per l'aggiornamento automatico con cadenza almeno mensile. Gli aggiornamenti di service pack e versione sono meno frequenti e possono richiedere ulteriori considerazioni e pianificazione prima dell'applicazione all'ambiente CA User Activity

Reporting Module. Si consiglia di scaricare questi tipi di aggiornamenti manualmente, se necessario.

Nota: i client non sono in grado di scaricare i moduli se i relativi non li hanno scaricati a loro volta. Verificare che i moduli selezionati per il proxy di sottoscrizione includano almeno tutti i moduli selezionati nell'elenco di download del client proxy.

198 Guida all'implementazione

Configurazione della sottoscrizione

7. Fare clic su OK.

La finestra di dialogo Moduli disponibili per il download viene chiusa e i moduli selezionati vengono visualizzati nell'elenco Moduli selezionati per il download.

8. Fare clic su Salva.

Ulteriori informazioni:

Configurazione della sottoscrizione

Informazioni sui moduli da scaricare

(a pagina 195)

Download e selezione dei moduli per la sottoscrizione non in linea

I file di aggiornamento della sottoscrizione non in linea sono disponibili sul sito

FTP di sottoscrizione non in linea di CA Technologies, sotto forma di file .zip.

Non appena disponibili, i nuovi moduli verranno visualizzati sul sito FTP.

Controllare regolarmente l'elenco dei moduli disponibili per verificare di aver eseguito il download degli aggiornamenti più recenti. Inoltre è possibile consultare il sito del supporto tecnico di CA all'indirizzo

http://ca.com/support

per verificare se sono disponibili versioni e service pack nuovi per Gestione log.

Per poter selezionare i moduli da scaricare per i proxy di sottoscrizione non in linea, eseguire il download del pacchetto file di aggiornamento non in linea dal sito FTP di CA Technologies e copiarlo manualmente sui proxy non in linea. È quindi possibile selezionare i moduli da scaricare e installare. Al contrario, i client di sottoscrizione non in linea ricevono gli aggiornamenti installati manualmente sui proxy non in linea corrispondenti in modo automatico, indipendentemente dai moduli selezionati per il client a livello locale.

Capitolo 5: Configurazione dei servizi 199

Configurazione della sottoscrizione

Per scaricare e selezionare i moduli di sottoscrizione non in linea

1. Su un sistema con accesso a Internet o a FTP, accedere al sito FTP di sottoscrizione non in linea: ftp://ftp.ca.com/pub/elm/connectors/ftp/outgoing/pub/elm/ELM_Offline_

Subscription

L'indice delle directory visualizza una cartella per ciascuna versione principale di CA User Activity Reporting Module.

2. Scaricare il file .zip corrispondente all'aggiornamento che si desidera eseguire.

Nota: La cartella della versione r12.5 di CA User Activity Reporting Module contiene una sottocartella e il file .zip. La sottocartella contiene i moduli per l'aggiornamento da una versione precedente alla versione r12.5. Il file .zip contiene i moduli per l'esecuzione degli aggiornamenti periodici regolari alla versione r12.5. Se si utilizza la sottoscrizione non in linea per l'aggiornamento da una versione precedente alla versione r12.5, consultare l'argomento Aggiornamento a CA User Activity Reporting Module delle Note

di rilascio. Se si sta eseguendo un aggiornamento di routine, selezionare il file .zip.

3. Utilizzare un supporto fisico, ad esempio un disco, oppure l'utilità SCP, per copiare manualmente il file .zip nel seguente percorso del proxy non in linea:

/opt/CA/LogManager/data/subscription/offline.

4. Accedere a un sistema dell'ambiente CA User Activity Reporting Module.

5. Fare clic sulla scheda Amministrazione, quindi sulla sottoscheda Servizi.

6. Espandere Servizio di sottoscrizione e selezionare il server proxy non in linea che si desidera configurare.

Viene visualizzata la finestra di configurazione del Servizio di sottoscrizione per il server CA User Activity Reporting Module selezionato.

Nota:i client di sottoscrizione non in linea ricevono automaticamente i moduli installati manualmente sul proxy non in linea corrispondente. Il contenuto del server proxy controlla gli aggiornamenti ricevuti dal client di sottoscrizione. I moduli selezionati a livello locale per un client non in linea non vengono considerati.

7. Fare clic sulla scheda Amministrazione.

8. Nell'elenco a discesa File, selezionare il file di aggiornamento non in linea

.zip copiato sul server e fare clic su Sfoglia.

Viene visualizzata la finestra di dialogo Moduli disponibili per il download.

200 Guida all'implementazione

Configurazione della sottoscrizione

9. Selezionare i moduli da scaricare.

10. Fare clic su OK.

La finestra di dialogo Moduli disponibili per il download viene chiusa e i moduli selezionati vengono visualizzati nell'elenco Moduli selezionati per il download.

11. Fare clic su Salva.

I client di sottoscrizione non in linea possono quindi eseguire il download automatico dei moduli in base al tipo sottoscrizione impostato oppure richiedendo di specificarlo al momento dell'avvio dell'aggiornamento manuale.

12. (Facoltativo) Fare clic su Aggiorna ora.

L'aggiornamento del server proxy non in linea include solo i moduli selezionati.

Nota: sebbene il proxy non in linea possa eseguire l'aggiornamento automatico in base al tipo di sottoscrizione impostato, in caso di trasferimento di file nuovi si consiglia di eseguire l'aggiornamento manuale.

Questa procedura consente garantire la disponibilità degli aggiornamenti in caso di richiesta da parte dei client di sottoscrizione non in linea.

Ulteriori informazioni

Configurazione della sottoscrizione

Informazioni sui moduli da scaricare

(a pagina 195)

Capitolo 5: Configurazione dei servizi 201

Configurazione della sottoscrizione

Definizione della pianificazione di sottoscrizione

La pianificazione di sottoscrizione viene configurata per definire la data e la frequenza di esecuzione degli aggiornamenti automatici del servizio di sottoscrizione. È possibile impostare la pianificazione di sottoscrizione a livello globale, per la totalità dell'ambiente CA User Activity Reporting Module, oppure definire una pianificazione personalizzata per proxy e client di sottoscrizione specifici.

Per configurare la pianificazione di sottoscrizione

1. Fare clic sulla scheda Amministrazione, quindi sulla sottoscheda Servizi.

2. Fare clic su Servizio di sottoscrizione.

Viene visualizzata la Configurazione di servizio globale per il Servizio di sottoscrizione.

3. Eseguire una delle seguenti operazioni:

■ Per specificare una pianificazione di sottoscrizione globale per la totalità dell'ambiente CA User Activity Reporting Module, fare clic sulla scheda

Amministrazione. oppure

■ Per specificare una pianificazione di sottoscrizione per un server specifico, fare clic sul nome del server, selezionare la scheda

Amministrazione e passare alla configurazione locale.

4. Impostare la pianificazione di sottoscrizione. Selezionare il fuso orario e l'ora di inizio per gli aggiornamenti, quindi specificare la frequenza di aggiornamento desiderata.

Ulteriori informazioni

Configurazione della sottoscrizione

202 Guida all'implementazione

Capitolo 6: Configurazione della raccolta eventi

Questa sezione contiene i seguenti argomenti:

Installazione di agenti

(a pagina 203)

Utilizzo dell'Explorer agente

(a pagina 204)

Configurazione dell'agente predefinito

(a pagina 205)

Esempio: Abilitazione della raccolta diretta tramite ODBCLogSensor

208)

Esempio: Abilitazione della raccolta diretta tramite WinRMLinuxLogSensor

pagina 215)

Visualizzazione e controllo dello stato di agenti o connettori

(a pagina 221)

Installazione di agenti

Con installazioni separate per piattaforme specifiche, gli agenti CA User Activity

Reporting Module forniscono il layer di trasporto per trasferire gli eventi dalle fonti degli eventi all'archivio registro eventi del server CA User Activity

Reporting Module. Gli agenti utilizzano connettori per raccogliere i registri eventi da diverse fonti di eventi. Il seguente diagramma mostra le interazioni tra agenti e il server CA User Activity Reporting Module:

Capitolo 6: Configurazione della raccolta eventi 203

Utilizzo dell'Explorer agente

Dopo avere installato un agente su una fonte di eventi, è possibile configurare uno o più connettori affinché raccolgano eventi da fonti di eventi come periferiche, applicazioni, sistemi operativi e database. Gli esempi nel diagramma includono connettori per CA Access Control e un database Oracle. Solitamente si installa un solo agente per ogni server host o fonte di evento, ma è possibile configurare più di un tipo di connettore su tale agente. È possibile utilizzare l'Explorer agente che fa parte del server CA User Activity Reporting Module per controllare gli agenti e configurare e controllare i connettori su un agente.

L'Explorer agente permette anche di creare gruppi di agenti per una gestione e un controllo più semplici.

Si basa la configurazione di un connettore su un'integrazione o su un listener, che sono modelli che comprendono file per l'accesso ai dati, l'analisi dei messaggi e il mapping dei dati. CA User Activity Reporting Module fornisce una serie di integrazioni pronte all'uso per fonti di eventi popolari.

È possibile trovare ulteriori informazioni e procedure per l'installazione di agenti nella Guida all'installazione degli agenti CA User Activity Reporting Module.

Ulteriori informazioni:

Visualizzazione e controllo dello stato di agenti o connettori

(a pagina 221)

Utilizzo dell'Explorer agente

Subito dopo l'installazione di un server CA User Activity Reporting Module, un agente predefinito è elencato nell'Explorer agente. L'agente viene installato quando si installa il server CA User Activity Reporting Module e lo si utilizza per la raccolta di eventi diretta syslog.

L'Explorer agente traccia ed elenca gli agenti quando essi vengono installati in una rete e fornisce una posizione centralizzata perla configurazione, il comando e il controllo di agenti e connettori. Gli agenti vengono registrati con il server CA

User Activity Reporting Module specificato al loro primo avvio. Quando avviene la registrazione, il nome dell'agente compare nell'Explorer agente e si è pronti per configurare un connettore per iniziare la raccolta dei registri eventi. I connettori raccolgono i registri eventi e li inviano al server CA User Activity

Reporting Module. Un agente può controllare molti connettori.

204 Guida all'implementazione

Configurazione dell'agente predefinito

L'utilizzo dell'Explorer agente per installare, configurare e controllare i connettori e gli agenti implica i seguenti passaggi di base:

1. Scaricare i file binari dell'agente.

2. Creare uno o più gruppi di agenti (facoltativo).

3. Creare e configurare un connettore, inclusa la creazione o l'applicazione delle regole di soppressione e riepilogo.

4. Visualizzare lo stato degli agenti o dei connettori.

Fare riferimento alla Guida all'amministrazione di CA User Activity Reporting

Module per ulteriori informazioni sulla creazione e l'utilizzo di gruppi di agenti e connettori e su come applicare regole di soppressione agli agenti.

Ulteriori informazioni:

Informazioni sugli agenti

(a pagina 63)

Informazioni sui gruppi di agenti

(a pagina 63)

Informazioni sui sensori di registro

(a pagina 66)

Effetti della regola di soppressione

(a pagina 68)

Configurazione dell'agente predefinito

L'installazione CA User Activity Reporting Module crea un agente predefinito sul server CA User Activity Reporting Module dotato di due connettori pronti all'uso, un connettore syslog_Connector e un connettore Linux_local. Il connettore syslog è disponibile per la raccolta di eventi syslog inviati al server

CA User Activity Reporting Module. Il connettore Linux_local connector è disponibile per la raccolta di eventi a livello di sistema operativo dal server fisico

CA User Activity Reporting Module o da un file syslog.

Nell'ambiente di base a due server, è necessario configurare uno o più connettori syslog sul server di raccolta per ricevere gli eventi.

La procedura per utilizzare l'agente predefinito include i seguenti passaggi:

1. (Facoltativo) Revisione delle integrazioni e dei listener syslog.

2. Creazione di un connettore syslog.

3. Verifica che il server CA User Activity Reporting Module stia ricevendo gli eventi syslog.

Capitolo 6: Configurazione della raccolta eventi 205

Configurazione dell'agente predefinito

Revisione delle integrazioni e dei listener syslog.

È possibile rivedere le integrazioni e i listener syslog predefiniti prima di creare un connettore. I listener essenzialmente sono un modello dei connettori syslog che utilizzano integrazioni syslog specifiche fornite come contenuto pronto all'uso con il server CA User Activity Reporting Module.

Per analizzare le integrazioni syslog

1. Accedere a CA User Activity Reporting Module e alla scheda

Amministrazione.

2. Fare clic sulla sottoscheda Library (Libreria) ed espandere il nodo

Integrazione Log.

3. Espandere sia il nodo Integrazioni che il nodo Sottoscrizione.

4. Selezionare un'integrazione il cui nome termina con ..._Syslog.

I dettagli dell'integrazione vengono visualizzati nella finestra sul lato destro.

È possibile esaminare i file di analisi dei messaggi e i file di mapping dei dati utilizzato dall'integrazione, nonché altri dettagli quale la versione e l'elenco delle regole di soppressione e riepilogo.

Per analizzare un listener syslog

1. Espandere sia il nodo Listener che il nodo Sottoscrizione.

2. Selezionare il listener Syslog.

I dettagli del listener predefinito vengono visualizzati nella finestra sul lato destro. È possibile esaminare dettagli quali le versioni, l'elenco delle regole di soppressione e riepilogo, le porte di attesa predefinite, l'elenco di host attendibili e il fuso orario del listener.

206 Guida all'implementazione

Configurazione dell'agente predefinito

Creazione di un connettore syslog per l'agente predefinito

È possibile creare un connettore syslog per la ricezione di eventi syslog utilizzando l'agente predefinito sul server CA User Activity Reporting Module.

Per creare un connettore syslog per l'agente predefinito

1. Accedere a CA User Activity Reporting Module e alla scheda

Amministrazione.

2. Espandere l'Explorer agente e un gruppo agente.

L'agente predefinito viene installato automaticamente nel Gruppo agenti predefinito. È possibile spostare questo agente in un altro gruppo, se lo si desidera.

3. Selezione del nome dell'agente.

L'agente predefinito ha lo stesso nome fornito al server CA User Activity

Reporting Module durante l'installazione.

4. Fare clic su Crea nuovo connettore per aprire la procedura guidata del connettore.

5. Fare clic sull'opzione Listener e immettere un nome per questo connettore.

6. Applicare le regole di soppressione e di riepilogo in base alle proprie esigenze nella seconda e nella terza pagina della procedura guidata.

7. Selezionare una o più integrazioni syslog di destinazione nell'elenco

Disponibile da utilizzare con questo connettore e spostarle nell'elenco

Selezionate.

8. Impostare i valori delle porte UDP e TCP, se non si stanno utilizzando quelle predefinite, e fornire un elenco di host sicuri se l'implementazione li utilizza.

Nota: se un agente CA User Activity Reporting Module non viene eseguito come root, esso non potrà aprire una porta inferiore a 1024. Il connettore syslog predefinito utilizza quindi la porta UDP 40514. L'installazione applica una regola di firewall al server CA User Activity Reporting Module per reindirizzare il traffico dalla porta 514 alla porta 40514.

9. Selezionare un fuso orario.

10. Fare clic su Salva e Chiudi per terminare il connettore.

Il connettore inizierà la raccolta di eventi syslog che corrispondono alle integrazioni selezionate sulle porte specificate.

Capitolo 6: Configurazione della raccolta eventi 207

Esempio: Abilitazione della raccolta diretta tramite ODBCLogSensor

Verificare che CA User Activity Reporting Module stia ricevendo gli eventi syslog

È possibile verificare che il connettore sull'agente predefinito stia raccogliendo gli eventi syslog con la seguente procedura.

Per verificare la ricezione di un evento syslog

1. Accedere a CA User Activity Reporting Module e alla scheda Query e rapporti.

2. Selezionare la scheda Query di sistema e aprire la query Dettagli di tutti gli eventi.

Dovrebbe essere possibile visualizzare gli eventi elencati per l'agente predefinito, se il connettore è stato configurato correttamente e la fonte dell'evento sta inviando eventi attivamente.

Esempio: Abilitazione della raccolta diretta tramite

ODBCLogSensor

È possibile abilitare la raccolta diretta degli eventi generati da database specifici e prodotti CA mediante ODBCLogSensor. Per eseguire questa operazione, creare un connettore sull'agente predefinito basato su un'integrazione che utilizza

ODBCLogSensor. Numerose integrazioni utilizzano questo sensore, ad esempio:

CA_Federation_Manager, CAIdentityManager, Oracle10g, Oracle9i, e

MS_SQL_Server_2005.

Di seguito si riporta una lista parziale dei prodotti che generano eventi disponibili per la raccolta diretta da parte dell'agente predefinito su un server

CA User Activity Reporting Module. Per ogni prodotto, viene utilizzato un unico connettore e ciascun connettore utilizza ODBCLogSensor.

■

CA Federation Manager

■

CA SiteMinder

■

CA Identity Manager

■

Oracle 9i e 10g

■

Microsoft SQL Server 2005

Per l'elenco completo, consultare la

Matrice di integrazione del prodotto

sul sito del Supporto in linea.

208 Guida all'implementazione

Esempio: Abilitazione della raccolta diretta tramite ODBCLogSensor

Questo esempio mostra la modalità per l'attivazione della raccolta diretta degli eventi da un database di Microsoft SQL Server. La distribuzione del connettore sull'agente predefinito si basa sull'integrazione MS_SQL_Server_2005. In questo esempio, il database SQL Server risiede in un server ODBC. Il connettore distribuito sull'agente CA User Activity Reporting Module esegue la raccolta degli eventi dalla tabella MSSQL_TRACE. L'abilitazione della raccolta eventi da un database Microsoft SQL Server include l'indirizzamento degli eventi selezionati verso tale tabella di traccia. La Guida al connettore per Microsoft SQL

Serverdi CA include istruzioni specifiche per questa operazione.

Informazioni sulla modalità di configurazione dell'origine eventi di Microsoft

SQL Server

1. Selezionare la scheda Amministrazione e la sottoscheda Library (Libreria).

2. Espandere Integrazione Log, Integrazioni e quindi Sottoscrizione e selezionare MS_SQL_Server_2005.

La finestra Visualizza dettagli integrazione mostra il nome del sensore.

ODBCLogSensor. Le piattaforme supportate includono Windows e Linux.

3. Fare clic sul collegamento alla Guida in linea della finestra Visualizza dettagli integrazione.

Viene visualizzata al Guida al connettore per Microsoft SQL Server

4. Per ulteriori informazioni, consultare le sezioni relative ai prerequisiti e alla configurazione di Microsoft SQL Server.

Per configurare l'origine evento e verificare la registrazione

1. Raccogliere le seguenti informazioni: indirizzo IP del server ODBC, nome del database, nome utente e password dell'amministratore per l'accesso al server e credenziali dell'utente con privilegi ridotti utilizzate per l'autenticazione di SQL Server (definito dall'utente per l'accesso in sola lettura alla tabella di traccia).

2. Accedere al server ODBC con il nome utente e la password di amministratore.

3. Verificare la connettività su TCP/IP come specificato nella Guida al

connettore per Microsoft SQL Server.

4. Configurare il server SQL e verificare l'indirizzamento degli eventi alla tabella di traccia come specificato nella Guida al connettore per Microsoft

SQL Server.

Nota: registrare il nome del database in cui è stata creata la tabella di traccia. È necessario specificare il nome del database nella stringa di connessione. Ad esempio: master.

Capitolo 6: Configurazione della raccolta eventi 209

Esempio: Abilitazione della raccolta diretta tramite ODBCLogSensor

Per creare un connettore sull'agente predefinito e recuperare gli eventi generati da un database SQL Server su un server ODBC

1. Selezionare la scheda Amministrazione e la sottoscheda Raccolta log.

2. Espandere Gestione agenti, e il gruppo agenti contenente l'agente predefinito di CA User Activity Reporting Module

3. Selezionare un agente predefinito, ovvero un agente con il nome del server

CA User Activity Reporting Module.

È possibile eseguire la distribuzione di connettori diversi sull'agente predefinito.

4. Fare clic su Crea nuovo connettore.

Viene aperta la creazione guidata nuovo connettore con il passaggio

Dettagli connettore selezionato.

5. Selezionare l'integrazione MS_SQL_Server_2005 dall'elenco a discesa

Integrazione.

Il campo Nome connettore viene compilato con

MS_SQL_Server_2005_Connector.

6. (Facoltativo) Sostituire il nome predefinito con un nome personalizzato per individuare più facilmente il connettore. Nel caso in cui il monitoraggio includa più database SQL Server con lo stesso agente, scegliere un nome univoco.

210 Guida all'implementazione

Esempio: Abilitazione della raccolta diretta tramite ODBCLogSensor

7. (Facoltativo) Fare clic su Applica regole di soppressione a, quindi selezionare le regole associate agli eventi supportati.

Ad esempio, selezionare MSSQL_2005_Authorization 12.0.44.12.

8. Fare clic su Configurazione connettore e selezionare il collegamento della

Guida in linea.

Le Istruzioni includono i requisiti di configurazione del sensore per CA

Enterprise Log Manager per Windows e Linux.

Capitolo 6: Configurazione della raccolta eventi 211

Esempio: Abilitazione della raccolta diretta tramite ODBCLogSensor

9. Consultare i passaggi per Linux, la piattaforma dell'agente predefinito e configurare la stringa di connessione e gli altri campi come specificato. a. Immettere la stringa di connessione specificata in Configurazione sensore--Linux, con il nome host o l'indirizzo IP dell' origine evento come indirizzo e il database SQL Server di creazione di

MSSQLSERVER_TRACE come database.

DSN=SQLServer Wire Protocol;Address=IPaddress,port;Database=databasename b. Immettere il nome dell'utente con diritti di accesso in sola lettura per la raccolta eventi. Per disporre dell'accesso in sola lettura, l'utente deve essere assegnato a db_datareader e a ruoli pubblici. c. Immettere la password per il nome utente specificato. d. Specificare il fuso orario del database come offset GMT.

Nota: sui server Windows, tali informazioni verranno visualizzate nella scheda Fuso orario delle proprietà di data e ora. Aprire l'orologio sulla barra delle applicazioni. e. Selezionare l'opzione Leggi dal principio se si desidera che il sensore log legga gli eventi dall'inizio del database. In caso contrario, deselezionare l'opzione.

Di seguito si riporta un esempio parziale:

212 Guida all'implementazione

Esempio: Abilitazione della raccolta diretta tramite ODBCLogSensor

10. Fare clic su Salva, quindi su Chiudi.

Il nuovo nome del connettore viene visualizzato sotto l'agente in Gestione agenti.

11. Fare clic su MS_SQL_Server_2005_Connector per visualizzare i dettagli dello stato.

Inizialmente, lo stato visualizzato è Configurazione in sospeso. Attendere che lo stato sia In esecuzione.

Capitolo 6: Configurazione della raccolta eventi 213

Esempio: Abilitazione della raccolta diretta tramite ODBCLogSensor

12. Selezionare il connettore e fare clic su In esecuzione per visualizzare i dettagli della raccolta eventi.

Nota: è inoltre possibile eseguire un rapporto per visualizzare i dati del database.

Verificare che l'agente predefinito stia eseguendo la raccolta degli eventi dall'origine evento di destinazione

1. Selezionare la scheda Query e rapporti. Viene visualizzata la sottoscheda

Query.

2. Espandere Prompt in Elenco query e selezionare Connettore.

3. Immettere il nome del connettore e fare clic su Vai a.

Gli eventi raccolti vengono visualizzati. I primi due eventi visualizzati sono di tipo interno. Gli eventi successivi corrispondono agli eventi raccolti dalla tabella di traccia MS SQL configurata dall'utente.

Nota: se gli eventi previsti non vengono visualizzati, fare clic su Filtri globali e Impostazioni dalla barra degli strumenti principale, impostare l'intervallo di tempo su Nessun limite, quindi salvare le impostazioni.

4. (Facoltativo) Selezionare Mostra eventi non elaborati ed esaminare la stringa risultato dei primi due eventi. La stringa risultato viene visualizzata alla fine dell'evento non elaborato. I valori riportati di seguito indicano l'avvio corretto.

■

■ result_string=ODBCSource initiated successfully - MSSQL_TRACE result_string=<connector name> Connector Started Successfully

214 Guida all'implementazione

Esempio: Abilitazione della raccolta diretta tramite WinRMLinuxLogSensor

Esempio: Abilitazione della raccolta diretta tramite

WinRMLinuxLogSensor

È possibile abilitare la raccolta diretta degli eventi generati da applicazioni

Windows oppure dal sistema operativo Windows Server 2008 con

WinRMLinuxLogSensor. Per eseguire questa operazione, creare un connettore sull'agente predefinito basato su un'integrazione che utilizza

WinRMLinuxLogSensor. Numerose integrazioni utilizzano questo sensore, ad esempio: Active_Directory_Certificate_Services,

Forefront_Security_for_Exchange_Server, Hyper-V, MS_OCS, e WinRM.

L'applicazione e il sistema operativo Microsoft Windows che genera eventi recuperabili da WinRMLinuxLogSensor corrispondono ai sistemi per i quali è stata abilitata la Gestione remota Windows.

Di seguito si riporta una lista parziale dei prodotti che generano eventi disponibili per la raccolta diretta da parte dell'agente predefinito su un server

CA User Activity Reporting Module. Per ogni prodotto, viene utilizzato un unico connettore e ciascun connettore utilizza WinRMLinuxLogSensor.

■

Servizi certificati Microsoft Active Directory

■

Microsoft Forefront Security per Exchange Server

■

Microsoft Forefront Security per SharePoint Server

■

Microsoft Hyper-V Server 2008

■

Microsoft Office Communication Server

■

Microsoft Windows Server 2008

Per l'elenco completo, consultare la

Matrice di integrazione del prodotto

sul sito del Supporto in linea.

Capitolo 6: Configurazione della raccolta eventi 215

Esempio: Abilitazione della raccolta diretta tramite WinRMLinuxLogSensor

Questo esempio mostra la modalità di abilitazione della raccolta diretta degli eventi mediante un connettore basato sull'integrazione WinRM. Quando tale connettore viene distribuito, esegue la raccolta degli eventi dall'origine evento di un sistema operativo Windows Server 2008 . La raccolta viene avviata dopo la configurazione delle origini evento per la registrazione degli eventi nel

Visualizzatore eventi di Windows e l'abilitazione della Gestione remota

Windows sul server, come specificato nella Guida del connettore associato all'integrazione.

Informazioni sulla modalità di configurazione dell'origine eventi di Windows

Server 2008

1. Selezionare la scheda Amministrazione e la sottoscheda Library (Libreria).

2. Espandere Integrazione Log, Integrazioni e quindi Sottoscrizione e selezionare WinRM.

La finestra Visualizza dettagli integrazione mostra il nome del sensore.

WinRMLinuxLogSensor. Le piattaforme supportate includono Windows e

Linux.

3. Fare clic sul collegamento alla Guida in linea della finestra Visualizza dettagli integrazione di WinRM.

Viene visualizzata la Guida al connettore per Windows Server 2008--WinRM.

Per configurare l'origine evento e verificare la registrazione

1. Accedere all'host di destinazione con sistema operativo Windows Server

2008.

2. Attenersi alle istruzioni della Guida al connettore per Microsoft SQL Server di

CA per verificare che gli eventi vengano visualizzati nel Visualizzatore eventi di Windows e per garantire che la Gestione remota Windows sia stata abilitata nel server di destinazione.

Nota: questo processo richiede la creazione di un nome utente e di una password da immettere durante la configurazione del connettore. Tali credenziali concedono l'autenticazione richiesta per stabilire la connettività tra l'origine evento e CA User Activity Reporting Module.

3. Verificare la registrazione. a. Aprire eventvwr dalla finestra di dialogo Esegui.

Viene visualizzato il Visualizzatore eventi. b. Espandere Registri di Windows e fare clic su Protezione.

216 Guida all'implementazione

Esempio: Abilitazione della raccolta diretta tramite WinRMLinuxLogSensor

Viene visualizzata la seguente schermata indicante che la registrazione è in corso.

Per abilitare la raccolta diretta degli eventi dalle origini evento di Windows

1. Selezionare la scheda Amministrazione e la sottoscheda Raccolta registri.

2. Espandere Gestione agenti da Gestione raccolta log ed espandere il gruppo agenti contenente l'agente predefinito di CA User Activity Reporting

Module.

3. Selezionare un agente predefinito, ovvero un agente con il nome del server

CA User Activity Reporting Module.

È possibile eseguire la distribuzione di connettori diversi sull'agente predefinito.

4. Fare clic su Crea nuovo connettore.

Viene aperta la creazione guidata nuovo connettore con il passaggio

Dettagli connettore selezionato.

Capitolo 6: Configurazione della raccolta eventi 217

Esempio: Abilitazione della raccolta diretta tramite WinRMLinuxLogSensor

5. Selezionare un'integrazione che utilizza il sensore log WinRM dall'elenco a discesa Integrazione.

Ad esempio, selezionare WinRM.

Il campo Nome connettore viene compilato con WinRM_Connector.

6. (Facoltativo) Fare clic su Applica regole di soppressione a, quindi selezionare le regole associate agli eventi supportati.

7. Fare clic su Configurazione connettore e selezionare il collegamento della

Guida in linea.

Le istruzioni includono la configurazione del sensore CA User Activity

Reporting Module--WinRM.

218 Guida all'implementazione

Esempio: Abilitazione della raccolta diretta tramite WinRMLinuxLogSensor

8. Per la configurazione del sensore, attenersi alle procedure riportate nella guida al connettore. Immettere l'indirizzo IP piuttosto che il nome host dell'host configurato per la Gestione remota Windows. Il nome utente e la password corrispondono alle credenziali aggiunte durante la configurazione della Gestione remota Windows.

Di seguito viene riportato un esempio:

Capitolo 6: Configurazione della raccolta eventi 219

Esempio: Abilitazione della raccolta diretta tramite WinRMLinuxLogSensor

9. Fare clic su Salva, quindi su Chiudi.

10. Il nuovo nome del connettore viene visualizzato sotto l'agente in Gestione agenti.

11. Fare clic su WinRM_Connector per visualizzare i dettagli di stato.

Inizialmente, lo stato visualizzato è Configurazione in sospeso. Attendere che lo stato sia In esecuzione.

12. Fare clic su Esegui per ottenere dati di aggregazione come EPS (eventi per secondo).

Verificare che l'agente predefinito stia eseguendo la raccolta degli eventi dall'origine evento di destinazione

1. Selezionare la scheda Query e rapporti. Viene visualizzata la sottoscheda

Query.

2. Espandere Prompt in Elenco query e selezionare Connettore.

3. Immettere il nome del connettore e fare clic su Vai a.

4. Visualizzare gli eventi raccolti.

220 Guida all'implementazione

Visualizzazione e controllo dello stato di agenti o connettori

È possibile monitorare lo stato degli agenti o dei connettori nell'ambiente, riavviare agenti e avviare, terminare e riavviare i connettori secondo le esigenze.

È possibile visualizzare agenti o connettori da livelli diversi della gerarchia della cartella Explorer agente. Ogni livello restringerà di conseguenza la visualizzazione disponibile:

■

Dalla cartella Explorer agente è possibile visualizzare tutti gli agenti o i connettori assegnati al server CA User Activity Reporting Module corrente.

■

Dalla cartella di uno specifico gruppo di agenti è possibile visualizzare gli eventi ed i connettori assegnati a tale gruppo agenti.

■

Da un singolo agente è possibile visualizzare solo l'agente in questione ed i connettori ad esso assegnati.

La modalità FIPS (FIPS o non FIPS) per un agente può essere impostata da tutti e tre i livelli.

Per visualizzare lo stato degli agenti o dei connettori

1. Fare clic sulla scheda Amministrazione, e quindi sulla sottoscheda Raccolta registri.

Verrà visualizzato l'elenco cartella di Raccolta registri.

2. Selezionare la cartella Explorer agente.

Nel riquadro dei dettagli vengono visualizzati i pulsanti di gestione agente.

3. Fare clic su Stato e comando:

Viene visualizzato il riquadro dello stato.

4. Selezionare Agenti o connettori.

Comparirà il riquadro della ricerca degli agenti o connettori.

Capitolo 6: Configurazione della raccolta eventi 221

Visualizzazione e controllo dello stato di agenti o connettori

5. (Facoltativo) Selezionare i criteri di ricerca degli aggiornamenti degli agenti o dei connettori. Se non vengono immessi termini di ricerca, compariranno tutti gli aggiornamenti disponibili. Per restringere la propria ricerca, è possibile selezionare uno o più criteri fra i seguenti:

■

Gruppo agenti: restituisce solo gli agenti ed i connettori assegnati al gruppo selezionato.

Piattaforma: restituisce solo gli agenti ed i connettori in esecuzione sul sistema operativo selezionato.

■

Modello nome agente: restituisce solo gli agenti e i connettori contenenti il modello specificato.

(Solo connettori) Integrazione: restituisce solo i connettori utilizzando l'integrazione selezionata.

6. Fare clic su Mostra stato.

Verrà visualizzato un grafico dei dettagli, che visualizza lo stato degli agenti o dei connettori corrispondenti alla ricerca dell'utente. Ad esempio:

Totale: 10 In esecuzione: 8 In sospeso: 1 Terminati: 1 Non risponde: 0

7. (Facoltativo) Fare clic sulla visualizzazione dello stato per visualizzare i dettagli nel riquadro Stato in fondo al grafico

Nota: è possibile fare clic sul pulsante Su richiesta di un agente o un connettore per aggiornare la visualizzazione dello stato.

8. (Facoltativo) Se si stanno visualizzando i connettori, selezionare qualsiasi connettore e fare clic su Ravvia, Avvia o Interrompi. Se si stanno visualizzando gli agenti, selezionare qualsiasi agente e fare clic su Riavvia.

222 Guida all'implementazione

Capitolo 7: Creazione di federazioni

Questa sezione contiene i seguenti argomenti:

Query e rapporti in un ambiente federato

(a pagina 223)

Federazioni gerarchiche

(a pagina 224)

Federazioni a coppie

(a pagina 226)

Configurazione di una federazione CA User Activity Reporting Module

228)

Query e rapporti in un ambiente federato

Un unico server CA User Activity Reporting Module restituisce i dati dal database di eventi interni per rispondere alle query e popolare i rapporti. Se si dispone di una federazione di server CA User Activity Reporting Module, è possibile controllare come query e rapporti restituiscono le informazioni sugli eventi dal modo in cui si configurano le relazioni della federazione. È inoltre possibile conservare i risultati delle query dai singoli server disabilitando l'impostazione globale Usa query federate.

Per impostazione predefinita, l'impostazione globale Usa query federate è abilitata. In questo modo le query da un server CA User Activity Reporting

Module genitore vengono inviate a tutti i server CA User Activity Reporting

Module figlio. Ogni server CA User Activity Reporting Module figlio interroga l'archivio registro eventi attivo e il catalogo dell'archivio oltre a tutti i server CA

User Activity Reporting Module figlio. Ogni server CA User Activity Reporting

Module figlio crea un unico set di risultati da inviare al server CA User Activity

Reporting Module genitore che invia la richiesta. La protezione da query circolari è incorporata in CA User Activity Reporting Module per abilitare le configurazioni a coppie.

L'implementazione di CA User Activity Reporting Module tipica per un'azienda ha da uno a cinque server. L'implementazione di una grande azienda può avere dieci o più server. Il modo in cui si configura la federazione controlla quante informazioni sono visibili nel server CA User Activity Reporting Module che produce la query. Il tipo più semplice di query deriva dal server CA User Activity

Reporting Module principale e restituisce le informazioni di tutti i server figlio configurati al di sotto di esso.

Capitolo 7: Creazione di federazioni 223

Federazioni gerarchiche

Quando si interroga la federazione da un server figlio, i risultati visualizzati dipendono dalla configurazione della federazione. In una federazione

gerarchica, tutti i server configurati come figlio sotto al di sotto di un server restituiscono ad esso i risultati della query. In una federazione a coppie, tutti i server interconnessi restituiscono i dati al server che produce la query.

Federazioni gerarchiche

Le federazioni gerarchiche utilizzano una struttura a piramide rovesciata per distribuire i carichi della raccolta di eventi su un'ampia area. La struttura è simile al grafico di un'organizzazione. Non esiste un numero di livelli impostato da creare: è possibile creare i livelli che hanno più senso per le esigenze della propria azienda.

In una federazione gerarchica, è possibile connettersi a ogni server CA User

Activity Reporting Module per visualizzare i rapporti sui dati degli eventi e i dati dei server figlio al di sotto. L'estensione dei dati a cui si può accedere è limitata da dove si inizia la gerarchia. Se si inizia al centro della gerarchia, è possibile visualizzare solo i dati del server e i dati di ogni server figlio. Più ci si sposta in alto nella gerarchia di una federazione, più sarà ampia l'estensione dei dati della rete disponibili. Al livello massimo, si ha accesso a tutti i dati dell'intera distribuzione.

Le federazioni gerarchiche sono utili, ad esempio, in distribuzioni regionali.

Supponiamo di volere che le risorse locali abbiano accesso ai dati degli eventi all'interno di una certa gerarchia, o ramo, della rete, ma non ai dati degli eventi in altri rami paralleli. Si può creare una federazione gerarchica con due o più rami paralleli per contenere i dati per ogni regione. Ognuno dei rami può inviare rapporti a un server di gestione CA User Activity Reporting Module presso l'ufficio della sede centrale per una visualizzazione dall'alto al basso di tutti i rapporti del registro eventi.

224 Guida all'implementazione

Federazioni gerarchiche

Esempio di federazione gerarchica

Nella mappa della federazione mostrata nel diagramma che segue, la rete utilizza il server CA User Activity Reporting Module di gestione come server di rapporto e diversi server di raccolta in una configurazione simile ad un grafico organizzativo. Il server di gestione/dei rapporti agisce come server CA User

Activity Reporting Module genitore e fornisce autenticazione utenti, autorizzazioni e funzioni di gestione principali oltre a funzioni di rapporto della gestione delle query, rapporti e avvisi. I server di raccolta in questo esempio sono i figli del server di gestione/dei rapporti 1. È possibile predisporre livelli aggiuntivi nella gerarchia. Tuttavia, non può essere presente più di un server di gestione. I livelli aggiuntivi saranno composti da server di rapporto genitori dei server di raccolta.

Come esempio di questo tipo di federazione, il server di gestione/raccolta 1 può essere posizionato negli uffici della sede, con server di raccolta posizionati in uffici regionali o delle filiali rappresentati dal server di raccolta 1 e 2. Ogni ramo può ricevere le informazioni dei rapporti sui propri dati, ma non i dati dell'altro ramo. Ad esempio, dal server di raccolta 1, è possibile avere query e rapporti solo sui dati nel server di raccolta 1. Dal server di gestione/raccolta 1, tuttavia, è possibile avere query e rapporti sui dati nel server di gestione/raccolta 1, nel server di raccolta 1 e nel server di raccolta 2.

Capitolo 7: Creazione di federazioni 225

Federazioni a coppie

In una federazione gerarchica, ogni server CA User Activity Reporting Module può avere uno o più figli, ma solo un genitore. Si configura questo tipo di federazione in un modo dall'alto al basso, iniziando con il server di gestione.

Quindi si passa attraverso ogni layer dall'alto al basso per configurare i server di rapporto e di raccolta figlio. La parte essenziale per la configurazione di una federazione consiste nella creazione di una mappa dei server e delle relazioni pianificate. Quindi è possibile configurare un server CA User Activity Reporting

Module come server figlio, per implementare le relazioni tra di essi.

Federazioni a coppie

Una federazione a coppie è simile a una federazione gerarchica poiché può avere dei livelli. La differenza fondamentale è nella configurazione delle connessioni tra i server. Una federazione a coppie può permettere a qualsiasi server CA User Activity Reporting Module nella rete di eseguire query e rapporti dei dati di tutti gli altri server CA User Activity Reporting Module. Le possibilità di rapporto dipendono dalle relazioni create tra i server.

Ad esempio, in una federazione a coppie, i server potrebbero interconnettersi solo in un ramo verticale. Ciò significa che tutti i server CA User Activity

Reporting Module in tale ramo avranno accesso a tutti gli altri server CA User

Activity Reporting Module nello stesso ramo. Ciò è in contrasto diretto con un server CA User Activity Reporting Module in una federazione gerarchica, che può produrre rapporti solo sui server al di sotto di esso nella gerarchia.

In una formazione ad anello o a stella, ogni server CA User Activity Reporting

Module è configurato per essere figlio di tutti gli altri server. Quando si richiede il rapporto dei dati da qualsiasi server CA User Activity Reporting Module, si visualizzano i dati di tutti i server CA User Activity Reporting Module all'interno della rete.

La federazione a coppie assegna due o più server CA User Activity Reporting

Module come primari e utilizza i server in una federazione a prescindere dalla loro posizione all'interno della rete. Anche i server configurati come figlio sono configurati per visualizzare i figli nello stesso ramo o in altri rami come federati ad essi. Ad esempio, se si dispone di due server CA User Activity Reporting

Module, A e B, è possibile creare una federazione a coppie rendendo B figlio di

A, e A figlio di B. Questa è la configurazione prevista quando si utilizzano due o più server di gestione.

226 Guida all'implementazione

Federazioni a coppie

Esempio di federazione a coppie

Esaminare la seguente illustrazione di una federazione a coppie completa:

Nella federazione a coppie mostrata in questo diagramma, quattro server di raccolta sono in federazione l'uno con l'altro e con entrambi i server di rapporto.

Ogni server è sia genitore che figlio di ogni altro server nella federazione.

Un vantaggio potenziale di questa distribuzione rispetto alla federazione strettamente gerarchica è la possibilità di accedere ai dati da qualsiasi punto all'interno della coppia e di ottenere i risultati da tutti gli altri server CA User

Activity Reporting Module nella coppia, a prescindere dalla gerarchia.

È possibile unire federazioni a copie e gerarchiche per definire la configurazione che si adatta meglio alle proprie esigenze. Ad esempio, una configurazione a coppie all'interno di un singolo ramo potrebbe risultare molto utile per distribuzioni globali. È possibile ottenere una panoramica globale dei dati dai server di rapporto genitore, mantenendo cluster regionali (rami) che hanno accesso solo ai propri dati.

Capitolo 7: Creazione di federazioni 227

Configurazione di una federazione CA User Activity Reporting Module

Configurazione di una federazione CA User Activity Reporting

Module

Ogni server CA User Activity Reporting Module che viene aggiunto alla federazione deve fare riferimento allo stesso nome dell'istanza dell'applicazione sul server di gestione. In questo modo, il server di gestione può archiviare e gestire assieme tutte le configurazioni come configurazioni globali.

È possibile configurare la federazione in qualsiasi momento, ma è utile eseguire questa operazione prima di iniziare la pianificazione dei rapporti, se si desiderano rapporti consolidati.

La configurazione di una federazione include le seguenti operazioni:

1. Creare una mappa della federazione.

2. Installare il primo CA User Activity Reporting Module, il server di gestione.

3. Installare uno o più server aggiuntivi.

4. Configurare le relazioni genitore/figlio. Ad esempio, iniziare selezionando i figli della federazione del server di gestione dalle impostazioni di archiviazione dei registri eventi di questo server.

Il primo gruppo di server figlio forma il secondo strato, o livello, della federazione se si sta configurando una federazione gerarchica.

5. Visualizzare il grafico della federazione per verificare che la struttura tra i server nei livelli genitore e figlio sia configurata correttamente.

Configurazione di un server CA User Activity Reporting Module come server figlio

La configurazione di un server CA User Activity Reporting Module come figlio di un altro server è il passaggio fondamentale nella creazione di una federazione.

Utilizzare questa procedura per aggiungere server alla federazione in qualsiasi momento. È necessario installare tutti i server CA User Activity Reporting

Module che si desidera federare utilizzando lo stesso nome dell'istanza dell'applicazione registrato prima di eseguire questa parte della configurazione.

Quando si installa un nuovo server, il suo nome appare nell'elenco dei server disponibili della federazione. È possibile eseguire questa procedura tutte le volte che è necessario per creare la struttura federata desiderata.

228 Guida all'implementazione

Configurazione di una federazione CA User Activity Reporting Module

Per configurare un server CA User Activity Reporting Module come server figlio

1. Eseguire l'accesso a uno dei server CA User Activity Reporting Module registrato con lo stesso nome dell'istanza dell'applicazione degli altri nella federazione desiderata.

2. Fare clic sulla scheda Amministrazione e selezionare la sottoscheda Servizi.

3. Espandere la cartella del servizio archivio registro eventi e selezionare il nome del server CA User Activity Reporting Module genitore.

4. Scorrere verso il basso fino all'elenco Figlio della federazione.

5. Selezionare uno o più nomi di server da configurare come figli del server genitore dai server presenti nell'elenco Disponibile.

6. Utilizzare i pulsanti a forma di freccia per spostare le selezioni nell'elenco dei server selezionati.

I server CA User Activity Reporting Module selezionati e spostati nell'elenco sono ora figli federati del server genitore.

Ulteriori informazioni:

Selezione dell'utilizzo di query federate

(a pagina 150)

Visualizzazione del grafico di una federazione e monitoraggio dello stato del server

È possibile visualizzare un grafico che mostra i server CA User Activity Reporting

Module nell'ambiente, le relazioni di federazione e le informazioni sullo stato dei server individuali. Il grafico della federazione permette di visualizzare la struttura corrente della federazione e i dettagli di ogni server. È possibile inoltre selezionare il server locale a cui vengono inviate le query nella sessione, configurandolo come server padre.

Capitolo 7: Creazione di federazioni 229

Configurazione di una federazione CA User Activity Reporting Module

Per visualizzare il grafico della federazione, fare clic su Mostra grafico federazione e Monitoraggio stato nella parte superiore della schermata:

Verrà visualizzata una finestra che mostra una rappresentazione grafica di tutti gli host dell'archivio eventi registrati con il server di gestione corrente:

■

Gli archivi eventi con i figli della federazione sono visualizzati in azzurro, collegati da righe nere che mostrano la relazione della federazione.

■

Gli archivi di eventi senza figli della federazione sono visualizzati in verde chiaro.

È possibile selezionare un server locale corrente per le finalità di query.

È inoltre possibile visualizzare i dettagli dello stato per i server visualizzati. Fare clic su un server nel grafico della federazione per visualizzare le schermate con i dettagli dello stato, compresi:

■

Percentuale di utilizzo della CPU

Percentuale di utilizzo della memoria disponibile

■

Percentuale di utilizzo dello spazio su disco disponibile

Eventi ricevuti al secondo

Grafico principale sullo stato dell'archivio di registro eventi

Ulteriori informazioni:

Esempio: mappa della federazione per un'impresa di medie dimensioni

pagina 36)

Esempio: mappa federazione di una grande impresa

(a pagina 34)

230 Guida all'implementazione

Capitolo 8: Lavorare con la libreria di perfezionamento eventi

Questa sezione contiene i seguenti argomenti:

Informazioni sulla libreria di perfezionamento eventi

(a pagina 231)

Supporto di nuove fonti eventi con la libreria di perfezionamento eventi

pagina 232)

File di mapping e analisi

(a pagina 232)

Informazioni sulla libreria di perfezionamento eventi

La libreria di perfezionamento eventi fornisce strumenti per creare nuovi file di analisi e di mapping o per modificare le copie di quelli esistenti per fornire supporto per nove periferiche, applicazioni e altro ancora. La libreria include le seguenti opzioni:

■

Integrazioni

■

Listener

■

File di mapping e analisi

■

Regole di soppressione e di riepilogo

Le regole di soppressione impediscono la raccolta dei dati o impediscono di inserirli nell'archivio registro eventi. Le regole di riepilogo permettono di aggregare gli eventi per ridurre il numero di inserimenti per tipi di eventi o azioni simili. Questa è la parte più utilizzata della libreria poiché le regole di soppressione e di riepilogo possono aiutare a ottimizzare le prestazioni della rete e del database.

È possibile utilizzare l'area delle integrazioni per visualizzare integrazioni predefinite e per creare nuove integrazioni per periferiche, applicazioni, file o database personalizzati o proprietari. Ulteriori informazioni sono disponibili nella Guida all'amministrazione di CA User Activity Reporting Module e nella guida online.

Capitolo 8: Lavorare con la libreria di perfezionamento eventi 231

Supporto di nuove fonti eventi con la libreria di perfezionamento eventi

Per supportare un dispositivo, un'applicazione, un database o un'altra origine eventi che non sia già supportata, è possibile utilizzare le procedure guidate di mapping e analisi dei file e le procedure guidate di integrazione per creare i componenti necessari.

Il processo comprende i seguenti passaggi generali:

1. Creazione di file di analisi per raccogliere i dati degli eventi come coppie nome-valore

2. Creazione di file di mapping per mappare le coppie nome-valore nella grammatica evento comune

3. Creazione di nuove integrazioni e listener per raccogliere i dati dalla fonte di eventi.

I file di integrazione, analisi e mapping e le regole di riepilogo sono descritte dettagliatamente nella Guida all'amministrazione CA User Activity Reporting

Module e nella guida online.

File di mapping e analisi

Durante il funzionamento, CA User Activity Reporting Module legge gli eventi in ingresso e li suddivide in sezioni in un'azione chiamata analisi. Esistono file di analisi dei messaggi separati per diverse periferiche, sistemi operativi, applicazioni e database. Quando gli eventi in ingresso vengono analizzati in coppie nome-valore, tali dati passano attraverso un modulo di mapping che posiziona i dati degli eventi nei campi all'interno del database.

Il modulo di mapping utilizza i file di mapping dei dati creati per fonti specifiche degli eventi simili ai file di analisi dei messaggi. Lo schema del database è la grammatica evento comune che rappresenta una delle funzioni centrali di CA

User Activity Reporting Module.

L'analisi e il mapping assieme sono i mezzi attraversi cui i dati vengono normalizzati e archiviati in un database comune a prescindere dal tipo di evento o dal formato del messaggio.

232 Guida all'implementazione

File di mapping e analisi

L'integrazione guidata e alcuni moduli di Adapter CA Technologies richiedono la configurazione dei file di mapping e analisi che descrivono al meglio il tipo di dati degli eventi per cui un connettore o un adapter è in ascolto. Nei riquadri della configurazione dove compaiono questi controlli, l'ordine dei file di analisi dei messaggi deve riflettere il numero relativo di eventi ricevuto di questo tipo.

L'ordine dei dati dei file di mapping dei dati deve riflettere anche la quantità di eventi ricevuti da una determinata fonte.

Ad esempio, se un modulo listener di syslog di un server CA User Activity

Reporting Module specifico riceve principalmente eventi Cisco PIX Firewall, è necessario inserire prima i file CiscoPIXFW.XMPS e CiscoPIXFW.DMS nel rispettivo elenco.

Capitolo 8: Lavorare con la libreria di perfezionamento eventi 233

Appendice A: Considerazioni per gli utenti

CA Audit

Questa sezione contiene i seguenti argomenti:

Comprendere le differenze delle architetture

(a pagina 235)

Configurazione degli adattatori CA Technologies

(a pagina 241)

Invio di eventi CA Audit a CA User Activity Reporting Module

(a pagina 246)

Quando importare eventi

(a pagina 251)

Importazione di dati da una tabella SEOSDATA

(a pagina 253)

Comprendere le differenze delle architetture

Nella pianificazione di come utilizzare CA Audit e CA User Activity Reporting

Module assieme, prima è necessario comprendere le differenze delle architetture e gli effetti che esse hanno sulla struttura della rete.

CA User Activity Reporting Module utilizza un registro eventi incorporato e fornisce un Explorer agente per configurare e gestire gli agenti. La nuova tecnologia abbinata a una grammatica evento comune consente un trasferimento più veloce degli eventi nell'archivio supportando un numero maggiore di fonti di eventi. La grammatica evento comune permette CA User

Activity Reporting Module di normalizzare gli eventi da fonti di eventi diverse in un singolo schema di database.

CA User Activity Reporting Module si integra a un certo livello CA Audit, ma per progettazione non è completamente interoperabile. CA User Activity Reporting

Module è un'infrastruttura server nuova e separata in grado di essere in funzione parallelamente a CA Audit, con le seguenti considerazioni sulla gestione degli eventi:

CA User Activity Reporting Module può... CA User Activity Reporting Module non può...

Ricevere registri di eventi inviati dai client CA Audit e da iRecorder utilizzando listener configurabili.

Accedere direttamente a registri di eventi archiviati nel database del collector CA Audit.

Fornire un'utilità per importare i dati del registro eventi archiviati nel database del collector CA

Audit (tabella SEOSDATA).

Appendice A: Considerazioni per gli utenti CA Audit 235

Comprendere le differenze delle architetture

CA User Activity Reporting Module può... CA User Activity Reporting Module non può...

Utilizzare agenti per inviare registri eventi solo all'infrastruttura del server CA User Activity

Reporting Module.

Permettere agli agenti CA User Activity Reporting

Module e ai client CA Audit con iRecorder di essere in funzione sullo stesso host fisico.

Utilizzare l'Explorer agente incorporato per gestire solo agenti CA User Activity Reporting Module.

Durante il funzionamento fianco a fianco dei due sistemi, CA Audit utilizza il proprio Gestore dei criteri solo per gestire client CA Audit

Permettere agli agenti CA User Activity Reporting

Module e ai client CA Audit con iRecorder sullo stesso host di accedere simultaneamente alle stesse fonti di registri.

Trasferire dati CA Audit contenuti in raccoglitori a tabella, modello di rapporti o rapporti personalizzati, criteri di avviso, criteri di raccolta/filtraggio o criteri di controllo degli accessi basati sui ruoli

236 Guida all'implementazione

Comprendere le differenze delle architetture

Architettura di CA Audit

La seguente illustrazione mostra un'implementazione semplificata di CA Audit:

In alcune distribuzioni aziendali di CA Audit, i dati degli eventi sono archiviati dal servizio di raccolta in un database relazionale in esecuzione nel server Data

Tools. Un amministratore del database controlla ed esegue la manutenzione di questo database e lavora con un amministratore di sistema per garantire che i criteri corretti siano applicati per raccogliere gli eventi desiderati e per escludere eventi non necessari.

Le righe continue in questo diagramma mostrano gli eventi che passano da client e recorder CA Audit e host di iRecorder al server Data Tools o in alcuni casi ad una console di monitoraggio di sicurezza opzionale. Una linea tratteggiata rappresenta il flusso di controllo tra il server del Gestore dei criteri e i client che utilizzano i criteri.

Il server Data Tools fornisce utilità di base di rapporti e di visualizzazione oltre all'archiviazione eventi. Query e rapporti personalizzati sono la norma in implementazioni aziendali e richiedono molto tempo per la creazione e la manutenzione.

Appendice A: Considerazioni per gli utenti CA Audit 237

Comprendere le differenze delle architetture

Questa topologia della rete permette la raccolta di una serie di tipi di eventi da diverse periferiche, applicazioni e database. Si dispone dell'archivio centrale degli eventi raccolti che di solito fa parte o è gestito dal server Data Tools, che offre anche alcuni rapporti.

Tuttavia, sono necessarie funzioni aggiuntive per scalare la soluzione per gestire rapidamente volumi di eventi in aumento. È necessario generare rapporti che dimostrino la conformità con una serie di normative federali e internazionali. È necessario essere in grado di trovare i rapporti rapidamente e velocemente.

Architettura di CA User Activity Reporting Module

La seguente illustrazione mostra un'implementazione di base a due server di CA

User Activity Reporting Module:

238 Guida all'implementazione

Comprendere le differenze delle architetture

Un sistema CA User Activity Reporting Module può avere uno o più server, laddove il primo server installato è il server di gestione. Non può essere presente più di un server di gestione in un sistema, ma è possibile avere diversi sistemi. Il server di gestione conserva contenuti e configurazione di tutti i server

CA User Activity Reporting Module ed esegue l'autorizzazione e l'autenticazione degli utenti.

In un'implementazione di base costituita da due server, il server di gestione assume anche il ruolo di server di rapporto. Un server di rapporto riceve eventi trattati da uno o più server di raccolta. Il server di rapporto gestisce query e rapporti su richiesta oltre ad avvisi e rapporti pianificati. Il server di raccolta tratta gli eventi raccolti.

Ogni server CA User Activity Reporting Module dispone del proprio database dell'archivio registro eventi interno. L'archivio del registro eventi è n database proprietario che utilizza la compressione per migliorare la capacità di archiviazione e per consentire le query di file dei database attivi, di file contrassegnati per l'archiviazione e file defrosted. Non è necessario nessun pacchetto DBMS relazionale per l'archiviazione di eventi.

Il server CA User Activity Reporting Module di raccolta può ricevere eventi direttamente utilizzando il proprio agente predefinito o da un agente che risiede sulla fonte dell'evento. Gli agenti possono risiedere anche su un host che agisce come raccoglitore per altre fonti di eventi nella rete, come un concentratore

VPN o un host router.

Le righe continue in questo diagramma rappresentano i flussi di eventi dalle fonti di eventi agli agenti al server di raccolta al ruolo dei rapporti del server di gestione o dei rapporti. Le linee tratteggiate mostrano il traffico di configurazione e di controllo tra i server CA User Activity Reporting Module e dal ruolo di gestione del server di gestione o dei rapporti agli agenti. È possibile utilizzare qualsiasi server CA User Activity Reporting Module nella rete per controllare ogni agente nella rete, fintanto che i server CA User Activity

Reporting Module erano registrati con lo stesso nome di istanza dell'applicazione nel server di gestione durante l'installazione.

Gli agenti utilizzano connettori (non mostrati) per raccogliere gli eventi. Un unico agente può gestire diversi connettori per raccogliere molti tipi diversi di eventi contemporaneamente. Ciò significa che un unico agente distribuito su una fonte di eventi singola può raccogliere tipi diversi di informazioni. Il server

CA User Activity Reporting Module offre anche listener che permettono la raccolta di eventi da altre applicazioni CA Technologies utilizzando iRecorder e recorder SAPI esistenti dalla rete CA Audit.

Appendice A: Considerazioni per gli utenti CA Audit 239

Comprendere le differenze delle architetture

È possibile federare i server CA User Activity Reporting Module per scalare la soluzione e condividere i dati dei rapporti tra di essi senza dovere trasportare i dati all'esterno dei confini. Ciò può fornire una visualizzazione della conformità a livello di rete seguendo sempre le normative sul mantenimento delle posizioni dei dati fisici.

Aggiornamenti delle sottoscrizioni per query e rapporti predefiniti rappresentano la possibilità di non dover più effettuare manualmente la manutenzione di query e rapporti. Le procedure guidate fornite permettono di creare le proprie integrazioni personalizzate per periferiche e applicazioni di terze parti non ancora supportate.

Architettura integrata

Il seguente diagramma mostra una rete CA Audit tipica con CA User Activity

Reporting Module aggiunto per utilizzare al meglio le capacità di gestione di grandi volumi di eventi e di rapporti basati sulla conformità:

240 Guida all'implementazione

Configurazione degli adattatori CA Technologies

CA User Activity Reporting Module utilizza un Explorer agente integrato, un archivio registro eventi incorporato e un'unica interfaccia utente per centralizzare e semplificare la raccolta dei registri. La tecnologia dell'agente CA

User Activity Reporting Module abbinata a una grammatica evento comune consente un trasferimento più veloce degli eventi nell'archivio gestendo un numero maggiore di fonti di eventi. Un unico agente può gestire diversi connettori alle fonti degli eventi, semplificando le attività di gestione degli agenti e sfruttando integrazioni predefinite per fonti di registri eventi note o comuni.

In questa implementazione, il server di raccolta CA User Activity Reporting

Module riceve direttamente gli eventi syslog, basati su iTechnology e del recorder SAPI. Il server di raccolta riceve gli eventi da fonti di eventi Windows attraverso un agente CA User Activity Reporting Module separato basato su

Windows. È possibile avere diversi agenti distribuiti nella rete, ognuno dei quali

è in grado di raccogliere molti tipi diversi di dati di eventi attraverso i connettori.

Ciò può aiutare a ridurre il traffico di eventi al database SEOSDATA e a utilizzare al meglio query e rapporti disponibili in CA User Activity Reporting Module. Una semplice modifica di regole dei criteri permette ai client CA Audit di inviare gli eventi raccolti sia al server Data Tools che al server CA User Activity Reporting

Module.

Oltre a una velocità superiore, CA User Activity Reporting Module offre query e rapporti pronti all'uso che aiutano a dimostrare la conformità rispetto a standard diversi come PCI (DSS) e SOX. Quando si abbinano le query e i rapporti predefiniti all'implementazione CA Audit e CA Security Command Center esistente, è possibile utilizzare al meglio gli investimenti nelle soluzioni personalizzate sfruttando i rapporti e l'elevata velocità di CA User Activity

Reporting Module.

Configurazione degli adattatori CA Technologies

Gli adattatori CA Technologies sono un gruppo di listener che riceve eventi da componenti di CA Audit come i client CA Audit, i recorder iRecorder e SAPI nonché le origini evento che inviano gli eventi con iTechnology.

Impostare le opzioni di configurazione dell'adapter CA Technologies prima di modificare le configurazioni dei criteri di CA Audit o iRecorder. Ciò assicura che i processi dei listener siano operativi prima dell'arrivo degli eventi. Ciò impedisce la mappatura errata dei dati degli eventi.

Appendice A: Considerazioni per gli utenti CA Audit 241

Configurazione degli adattatori CA Technologies

Se si inviano eventi attraverso iRecorder a CA Audit, o se si utilizza un client CA

Audit con iRecorder, si utilizzeranno gli adapter SAPI CA User Activity Reporting

Module per ricevere eventi. Per inviare eventi a CA User Activity Reporting

Module, si dovranno modificare i criteri CA Audit per gli eventi CA Access

Control. È possibile aggiungere un'azione Collector o Route ad una regola esistente.

■

Se si crea un'azione Collector su una regola in un criterio CA Audit esistente, configurare l'adapter CA Technologies Collector SAPI per ricevere gli eventi.

■

Se si crea un'azione Route su una regola in un criterio CA Audit esistente, configurare l'adapter CA Technologies Route SAPI per ricevere gli eventi.

Fare riferimento alla documentazione di origine SAPI per istruzioni sulla riconfigurazione per inviare eventi direttamente a CA User Activity Reporting

Module.

Se si ha intenzione di installare un iRecorder autonomo o di utilizzare un iRecorder esistente, si dovrà configurare il plug-in eventi iTech per ricevere gli eventi. Ad esempio, utilizzare questo approccio se CA Audit non è installato, ma si vuole utilizzare un iRecorder CA Technologies per raccogliere eventi da una fonte di eventi supportata. La procedura include i seguenti passaggi:

■

Configurazione del plug-in eventi iTechnology

■

Configurare il prodotto in base ad iRecorder o iTechnology per inviare eventi direttamente al server CA User Activity Reporting Module

Informazioni su SAPI Router e Collector

I servizi SAPI sono usati solitamente per ricevere eventi dai client e dai prodotti

CA Audit esistenti. CA User Activity Reporting Module utilizza due istanze del servizio listener SAPI, una installata come SAPI Collector, l'altra come SAPI

Router.

I moduli SAPI utilizzano il daemon iGateway per il comando e il controllo. I moduli agiscono come router SAPI e un collector SAPI utilizza porte statiche o dinamiche attraverso portmapper.

242 Guida all'implementazione

Configurazione degli adattatori CA Technologies

Utilizzare il collector SAPI durante l'invio di eventi dai client CA Audit in modo che sia possibile utilizzare il supporto di fail-over incorporato nell'azione Audit

Collector.

Utilizzare il router SAPI durante l'invio di eventi dai client CA Audit utilizzando l'azione Route o quando si inviano eventi dai recorder o dalle integrazioni SAPI che supportano l'invio di eventi direttamente a un client CA Audit. In questo caso si configura il mittente remoto come se il server CA User Activity Reporting

Module fosse il client CA Audit.

Il listener SAPI apre la propria porta e ascolta passivamente affinché i nuovi eventi vengano inviati ad esso. Ogni istanza del modulo SAPI dispone della propria configurazione che specifica quanto segue:

■

Porta sui cui ascoltare

■

File di mapping dei dati (DM) da caricare

■

Librerie di crittografia da utilizzare

Dopo avere ricevuto questo evento, il modulo lo invia alla libreria di mapping e

CA User Activity Reporting Module lo inserisce all'interno del database.

Importante: la libreria di mapping dei dati può contenere uno o più file di mapping con lo stesso nome, ma numeri di versione diversi. I file diversi supportano diversi livelli di rilascio della stessa fonte eventi di eventi, come un sistema operativo, un database e così via. È essenziale selezionare solo un file di mapping specifico per la versione quando si configura il collector o il router

SAPI.

Se due file con lo stesso nome sono presenti nell'elenco dei file di mapping selezionati, il motore di mapping utilizza solo il primo dell'elenco. Se non si tratta del file corretto per il flusso di eventi in ingresso, il motore di mapping non sarà in grado di mappare correttamente l'evento. Ciò a sua volta potrebbe provocare da parte delle query e dei rapporti la visualizzazione di informazioni che non includono gli eventi con mappatura errata o in alcuni casi che on includono nessun evento.

Appendice A: Considerazioni per gli utenti CA Audit 243

Configurazione degli adattatori CA Technologies

Configurazione del servizio SAPI Collector

Utilizzare questa procedura per configurare il servizio SAPI Collector.

È possibile modificare i criteri CA Audit che utilizzano azioni di Collector per inviare eventi a un server CA User Activity Reporting Module oltre a, o al posto di, inviare eventi al database CA Audit Collector. Configurare questo servizio prima di modificare i criteri di audit per assicurarsi che non venga perso alcun evento.

Per configurare il servizio SAPI Collector

1. Accedere al server CA User Activity Reporting Module e selezionare la scheda Amministrazione.

La sottoscheda Raccolta registri verrà visualizzata per impostazione predefinita.

2. Espandere la voce CA Technologies Adapters.

3. Selezionare il servizio SAPI Collector.

4. Fare riferimento alla Guida in linea per le descrizioni di ogni campo.

5. Al termine, fare clic su Salva.

Configurazione del servizio SAPI Router

Utilizzare questa procedura per configurare un servizio SAPI Router.

È possibile modificare i criteri CA Audit che utilizzano azioni Route per inviare eventi al server CA User Activity Reporting Module oltre a, o al posto di, eventi di routing verso altre destinazioni. È possibile anche reindirizzare eventi del recorder SAPI affinché raggiungano direttamente il listener del router SAPI modificando i relativi file di configurazione. Configurare questo servizio prima di modificare i criteri di audit o le configurazioni del recorder SAPI per assicurarsi che non venga perso alcun evento.

Per configurare il servizio SAPI Router

1. Accedere al server CA User Activity Reporting Module e selezionare la scheda Amministrazione.

La sottoscheda Raccolta registri verrà visualizzata per impostazione predefinita.

2. Espandere la voce CA Technologies Adapters.

244 Guida all'implementazione

Configurazione degli adattatori CA Technologies

3. Selezionare il servizio SAPI Router.

4. Fare riferimento alla Guida in linea per le descrizioni di ogni campo.

5. Al termina, fare clic su Salva.

Informazioni sul plug-in eventi iTechnology

Il plug-in eventi iTechnology riceve eventi inviati attraverso il meccanismo di gestione eventi iGateway. Configurare il plug-in eventi iTechnology se una delle seguenti affermazioni è vera per l'ambiente in questione:

■

Nella rete sono presenti iRecorder che non dispongono di client CA Audit sullo stesso sistema

■

Si dispone di altri prodotti, come CA EEM, che possono inoltrare gli eventi attraverso iTechnology

Dopo avere ricevuto un evento, questo servizio lo invia alla libreria del mapping, dopodichè CA User Activity Reporting Module inserisce l'evento mappato nell'archivio registro eventi.

Configurazione del plug-in eventi iTechnology

Utilizzare questa procedura per configurare il plug-in eventi iTechnology per ricevere da iRecorder e altre origini eventi iTechnology.

Utilizzare il plug-in iTechnology quando si configura un iRecorder autonomo per inviare i suoi eventi a un server CA User Activity Reporting Module. Configurare il servizio prima di eseguire la configurazione o l'installazione di un iRecorder per verificare che gli eventi non vengano persi.

Nota: se si desidera inviare eventi da un client esterno per il listener del plug-in eventi iTechnology, è necessario inviare tali eventi solo al server CA User

Activity Reporting Module secondario.

Per configurare il plug-in eventi iTechnology

1. Accedere al server CA User Activity Reporting Module e selezionare la scheda Amministrazione.

La sottoscheda Raccolta log verrà visualizzata per impostazione predefinita.

2. Espandere la voce CA Technologies Adapters.

Appendice A: Considerazioni per gli utenti CA Audit 245

Invio di eventi CA Audit a CA User Activity Reporting Module

3. Selezionare il servizio plug-in eventi iTechnology.

4. Selezionare uno o più file di mapping dei dati (DM) dall'elenco dei file DM disponibili ed utilizzare i pulsanti freccia per spostarli all'elenco di selezione dei file DM.

Il servizio di plug-in degli eventi è preconfigurato per includere la maggior parte dei principali file di mapping dei dati.

5. Fare clic su Salva per archiviare le modifiche nei file di configurazione del server di gestione.

Invio di eventi CA Audit a CA User Activity Reporting Module

È possibile integrare CA User Activity Reporting Module con l'implementazione

CA Audit esistente nei seguenti modi:

■

Riconfigurare un iRecorder che non si trova sullo stesso host del client CA

Audit per inviare eventi a CA User Activity Reporting Module

■

Modificare un criterio CA Audit esistente per inviare eventi sia a CA Audit che a CA User Activity Reporting Module

Configurazione di iRecorder per inviare eventi a CA User Activity Reporting

Module

CA User Activity Reporting Module riceve eventi da iRecorder attraverso il listener del plug-in eventi iTech. È necessario configurare il listener prima di modificare la configurazione di iRecorder. Se non viene eseguita questa operazione, i dati degli eventi potrebbero andare perduti. Dopo avere configurato il Listener, utilizzare questa procedura per configurare iRecorder per l'invio di eventi al server CA User Activity Reporting Module.

Gli iRecorder installati sullo stesso computer del client CA Audit inviano eventi direttamente al client. Per queste macchine, è necessario utilizzare gli adapter del raccoglitore o del router SAPI.

Importante: Un iRecorder autonomo può inviare i propri eventi solo ad un'unica destinazione. Se si riconfigura un iRecorder utilizzando la procedura che segue, gli eventi vengono archiviati solo nell'archivio registro eventi CA User Activity

Reporting Module. Se si devono conservare eventi sia nell'archivio registro eventi che nel database di CA Audit Collector, modificare l'azione di una regola su un criterio esistente o creare un nuovo criterio per un client CA Audit.

246 Guida all'implementazione

Invio di eventi CA Audit a CA User Activity Reporting Module

Per configurare iRecorder per l'invio di eventi a CA User Activity Reporting

Module

1. Accedere al server che ospita iRecorder come utente con privilegi di amministrazione.

2. Navigare fino alla directory del sistema operativo:

■ UNIX o Linux: /opt/CA/SharedComponents/iTechnology

■ Windows: \Program Files\CA\SharedComponents\iTechnology

3. Terminare il daemon o servizio iGateway con il seguente comando:

■ UNIX o Linux: ./S99igateway stop

■

Windows: net stop igateway

4. Modificare il file iControl.conf.

5. Specificare il seguente valore RouteEvent:

Questa voce indica ad iGateway di inviare i suoi eventi, inclusi tutti gli eventi iRecorder, all'host indicato nella coppia della scheda RouteHost.

6. Specificare il seguente valore RouteHost:

<RouteHost>nomehost_CA_ELM</RouteHost>

Questa voce indica ad iGateway di inviare i suoi propri eventi al server CA

User Activity Reporting Module usando il suo nome DNS.

7. Terminare il daemon o servizio iGateway con il seguente comando:

■ UNIX o Linux: ./S99igateway start

■

Windows: net start igateway

Questa azione obbliga iRecorder a utilizzare nuove impostazioni e avvia il flusso di eventi da iRecorder al server CA User Activity Reporting Module.

Ulteriori informazioni:

Informazioni su SAPI Router e Collector

(a pagina 242)

Configurazione del servizio SAPI Collector

Configurazione del servizio SAPI Router

Appendice A: Considerazioni per gli utenti CA Audit 247

Invio di eventi CA Audit a CA User Activity Reporting Module

Modifica di criteri CA Audit esistenti per inviare eventi a CA User Activity

Reporting Module

Utilizzare questa procedura per abilitare un client CA Audit per inviare eventi ad

entrambi i database di raccolta: di CA User Activity Reporting Module e di CA

Audit. Aggiungendo una nuova destinazione alle azioni Route o Collector in una regola esistente, è possibile inviare eventi raccolti ad entrambi i sistemi. In alternativa, è inoltre possibile modificare criteri o regole specifiche per inviare eventi solo al server CA User Activity Reporting Module.

CA User Activity Reporting Module raccoglie eventi da client CA Audit utilizzando i listener CA Audit SAPI Router e CA Audit SAPI Collector. Gli eventi raccolti vengono archiviati nell'archivio registro eventi CA User Activity

Reporting Module solo dopo avere inviato il criterio ai client ed esso diventa attivo.

Importante: è necessario configurare i listener CA User Activity Reporting

Module per ricevere eventi prima di modificare e attivare il criterio. Se non si esegue prima questa configurazione, è possibile che gli eventi vengano mappati in modo errato se questi arrivano tra il momento in cui il criterio diventa attivo e quello in cui i listener possono mappare correttamente gli eventi.

Per modificare l'azione della regola di un criterio esistente per inviare gli eventi a CA User Activity Reporting Module

1. Accedere al server gestore dei criteri e accedere alla scheda Criteri personali nel riquadro a sinistra.

2. Espandere la cartella del criterio fino a quando è possibile visualizzare il criterio desiderato.

3. Fare clic sul criterio per visualizzarne le informazioni di base nel riquadro

Dettagli a destra.

4. Fare clic su Modifica nel riquadro Dettagli per effettuare aggiunte alle regole del criterio. Viene avviata la procedura guidata della regola.

5. Fare clic su Modifica azioni di fianco alla freccia per il passaggio 3 della procedura guidata. Verrà visualizzata la pagina delle azioni della regola della procedura guidata.

6. Fare clic sull'azione del Collector nel riquadro Sfoglia azioni a sinistra.

Questo visualizzerà l'Elenco azioni a destra.

È anche possibile utilizzare l'azione Route per creare una regola per l'invio degli eventi a un server CA User Activity Reporting Module.

7. Fare clic su Nuova per aggiungere una nuova regola.

248 Guida all'implementazione

Invio di eventi CA Audit a CA User Activity Reporting Module

8. Immettere l'indirizzo IP o il nome host del server CA User Activity Reporting

Module di raccolta.

Per implementazioni di CA User Activity Reporting Module con due o più server, è possibile immettere un nome host o indirizzo IP CA User Activity

Reporting Module diverso nel campo Nome host alternativo per utilizzare la funzionalità di failover automatico di <Aus>. Se il primo server CA User

Activity Reporting Module non è disponibile, CA Audit invia automaticamente gli eventi al server indicato nel campo Nome host alternativo.

9. Immettere il nome del server CA User Activity Reporting Module di gestione nel campo Nome host alternativo e creare una descrizione per questa nuova azione della regola.

10. Deselezionare la casella di controllo Esegui questa azione sul server remoto, se selezionata.

11. Fare clic su Aggiungi per salvare la nuova azione della regola e fare clic su

Fine nella finestra della procedura guidata.

12. Selezionare la scheda Regole nel riquadro in basso a destra e la regola da selezionare.

13. Fare clic su Controlla criteri per controllare le regole modificate con le nuove azioni per assicurarsi che siano compilate correttamente.

Eseguire tutte le modifiche necessarie alle regole e assicurarsi che siano compilate correttamente prima di attivarle.

14. Fare clic su Attiva per distribuire i criteri controllati che contengono le nuove azioni della regola aggiunte.

15. Ripetere questa procedura per ogni regola e criterio con eventi raccolti da inviare a CA User Activity Reporting Module.

Ulteriori informazioni:

Informazioni su SAPI Router e Collector

(a pagina 242)

Configurazione del servizio SAPI Collector

Configurazione del servizio SAPI Router