Les règles de corrélation sur ACE utilisant les listes de surveillance ne se déclenchent pas correctement sur la version 11.5.x

Articles techniques ID: KB96394
Date de la dernière modification : 13/07/2023

Environnement

Gestionnaire de sécurité d'entreprise SIEM (ESM) 11.x
Moteur de corrélation avancé SIEM (ACE) 11.x

Synthèse

Cet article décrit la solution de contournement à appliquer pour les règles de corrélation utilisant des listes de surveillance qui ne se déclenchent pas correctement en fonction des conditions de filtrage.

Problème

Le problème est déclenché lorsque l'option 'Utiliser les filtres des gestionnaires de corrélation pour restreindre les événements envoyés par le(s) récepteur(s)' dans la page ACE Properties>Correlation Management est activée et que le bouton Write est cliqué. Après avoir désactivé l'option et annulé les modifications en écrivant la configuration, les règles de corrélation utilisant des listes de surveillance ne fonctionnent pas correctement.

Si une règle de corrélation a une condition de filtre utilisant la condition "Pas dans" pour une liste de surveillance statique qui contient des adresses IP, les événements corrélés qui ne correspondent pas à la condition "Pas dans" sont renvoyés.

Cause

Ce problème se produit en raison d'un nom de classe incorrect mentionné dans le fichier /usr/local/ace/correlator.xml.

Solution

Ce problème concerne un défaut logiciel et sera corrigé dans la version 11.6.5.

Pour mettre en œuvre la solution de contournement, contactez le support technique en ouvrant une demande de service client.

Résolution

La solution de contournement suivante peut être mise en œuvre par l'équipe de support technique :

Sur l'interface de ligne de commande ACE, modifiez /usr/local/ace/correlator.xml à l'aide de l'éditeur vi.
Changez la ligne suivante de :

<proc:bean name="EnrichmentManager" active="true" className="siem.ace.core.enrichment.EnrichmentManagerBean">

du au

<proc:bean name="EnrichmentManager" active="true" className="siem.ace.core.enrichment.AceEnrichmentManagerBean">

Exécutez AceStop --nod.
Enfin, exécutez AceStart --nod.

Clause d'exclusion de responsabilité

Le contenu du présent article a été rédigé en anglais. En cas de divergences entre la version anglaise et sa traduction, la version en anglais prévaut. Certaines parties de ce contenu ont été traduites par le moteur de traduction automatique de Microsoft.

Produits affectés

Langues :

Cet article est disponible dans les langues suivantes :

Knowledge Center

Les règles de corrélation sur ACE utilisant les listes de surveillance ne se déclenchent pas correctement sur la version 11.5.x

Environnement

Synthèse

Problème

Cause

Solution

Résolution

Clause d'exclusion de responsabilité

Produits affectés

Langues :

Title

Title

Knowledge Center

Les règles de corrélation sur ACE utilisant les listes de surveillance ne se déclenchent pas correctement sur la version 11.5.x

Environnement

Synthèse

Problème

Cause

Solution

Résolution

Clause d'exclusion de responsabilité

Produits affectés

Langues :

Choisissez votre région

Title

Title