RSA NetWitness Platform Tech Support Data Gathering Script（nwtech）にて情報取得方法

[#1]

Article Number

000040043

Applies To

RSA Product Set: RSA NetWitness Platform, RSA NetWitness Logs & Network, NetWitness Logs and Packets, Security Analytics, NetWitness NextGen (Legacy)
RSA Product/Service Type: Head Unit/NetWitness Server, Network/Packet Decoder, Log Decoder, Log Collector, Concentrator, Broker, Network/Packet Hybrid, Log Hybrid, SA All-in-One, Archiver, Event Stream Analysis (ESA), Malware Analysis (MA), NetWitness NextGen (Legacy), UEBA, Warehouse, Warehouse Connector
RSA Version/Condition: 9.8, 10.1, 10.2, 10.3.x, 10.4.x, 10.5.x, 10.6.x, 11.x
Platform: CentOS
O/S Version: 5, 6, 7
Script: nwtech.sh

Issue

サポートチームのトラブルシューティングのために必要な情報取得で使用するTech Support Data Gathering script (nwtech.sh)のアップデートと使用、およびダウンロード方法についてご説明いたします。

nwtechスクリプトのダウンロード方法について

nwtechスクリプト使用方法について

Resolution

現在スクリプトバージョン： 2019.09.27

1. 最新nwtech.shバージョンをリンクからダウンロードしてください。スクリプトが破損する可能性があるため、テキストエディタで開いて保存しないでください。（その他追加情報についてはError message '/bin/bash^M: bad interpreter: No such file or directory' when running an RSA NetWitness scriptナレッジベースをご参照ください。）
2. scpユーティリティ（例：Winscp、scp、pscpなど）を使ってスクリプトをユーザ様のNetWitnessホスト「/root」ディレクトリに転送してください。
   UNIX LF'Sなどを正しく処理できない可能性があり、その結果予期せぬエラーになる可能性がありますのでWindowsテクストエディタを利用せず、scpユーティリティを使ってユーザ様のアプライアンスにコピーしてください。
3. スクリプトヘルプを見るためには「./nwtech.sh -h」をご利用ください。
4. sshセッションにて実行可能にするために「chmod +x nwtech.sh」にて権限を変更してください。
5. 「./nwtech.sh -p」もしくは 「./nwtech.sh username password」にて実行してください。コマンドラインでのクレデンシャルの提供は安全性が低くなりますが、パスワードに特定の特殊文字が含まれている場合は、この方法でスクリプトを実行し、パスワードを「シングルクォーテーション」で囲む必要があります。 アプライアンスサービスの正しいクレデンシャル。つまり、管理者に入力するDecoder、Concentrator、Brokerのクレデンシャルであり、オペレーティングシステムのクレデンシャルではありません。つまり、SSH経由でのログインに使用するものではありません。 -iを選択しないと、サービスのログインに失敗するとスクリプトが終了する場合があります。
   注：スクリプトは「nwtech- <dateandtime> .tar.bz2」という出力ファイルを生成します。完全なファイル名はスクリプトの出力の最後にリストされます。
6. scpにて出力ファイルをPCにコピーするか、開いているNetWitnessサポートケースに添付してください。もしくは、カスタマーサポートによるレビューのためにファイルをHow to upload files onto the RSA Secure FTP (SFTP) site for review by Customer Support サイトにアップロードする方法などの安全なFTPサイトにアップロードしてください。
7. 最も一般的に使用される3つのオプションは次のとおりです。

   
   ./nwtech.sh username password
   ./nwtech.sh -p
   ./nwtech.sh -d

   コマンド使用方法：

   
   Usage: ./nwtech.sh username password [-s] [-ss] [-i] [-a] [-k] [-b] [-e]
   Usage: ./nwtech.sh -p [-s] [-ss] [-i] [-a] [-k] [-b] [-e]
   Usage: ./nwtech.sh -d [-k] [-b] [-e]
   
   Password Notes:
     * Passwords supplied from command line containing certain special characters like # may need to be placed within 'single quotes' e.g. 'pass#word'
     * It may also be necessary to upgrade to at least NextGen 9.6.5.10/9.7.5.9 due to a defect in handling passwords containing special characters.
     * Special characters include: " # $ & ( ) * ' \ ` ~
     * Passwords may not contain certain characters such as space & -
     * There is a 17 character password limit.
   
     -p    Prompt for service credentials separately instead of entering username & password via command line.  This MUST be specified as the first parameter.
     -d    Only run disk commands.  Do nothing else.  This MUST be specified as the first parameter.  Do not enter a username and password on the command line.
     -s    Login to services using SSL.  Use this option if your services have SSL enabled.
     -ss   Prompt for SSL separately for each service.  Use this if not all services have SSL enabled.
     -n    If NetWitness 11.x, don't include sosreport.
     -i    Ignore failed login attempts and continue.  Note: If a service login fails then the output file will NOT contain service exports such as service logfiles and service stats.
     -a    Grab ALL /var/log/messages* files, not just active logfile and don't truncate service logs.
     -k    Keep script output beneath current directory and do not compress. Cannot be used with -b or -e switches
     -b    Use bz2 compression if '7za' command is present (7zip compression is default if '7za' is installed).
     -e    Encrypt payload using RSA NetWitness Support PGP public key (nwsupport@rsa.com).  You may be prompted to add the key to your GPG keyring.  The unencrypted output file will not be deleted. Cannot be used with -k.
   
   

詳細については、notesにて記載の変更ログファイルを参照してください。

RSA NetWitness 11.xの場合、sosreportを使用して情報収集することもできます。　－　KB＃000036657－Running SOS on RSA NetWitness Version 11.x

Notes

25MBを超えるファイルなど、テクニカルサポートスクリプト（nwtech.sh）の出力が大きすぎてケースにアップロードできない場合は、ナレッジベースの記事RSA NetWitness Technical Support script (nwtech.sh) output is too large to upload to a Salesforce caseをご参照ください。

10.4.x以降のバージョンの場合、-pパラメーターを使用すると、次の重要なサービスのいずれかを使用して認証が成功すると、残りのサービスはpuppet trustモデルを使用して認証を試みます。

重要と見なされるサービスは次のとおりです：

• Decoder
• Log Decoder
• Log Collector
• Concentrator
• Archiver
• Broker

Click here nwtech.shスクリプトの最新バージョンをダウンロードするには、ここをクリックしてください。
Click here nwtech.shスクリプトの変更ログを表示するには、ここをクリックしてください。
Click here Fedora Core 9用のcurl-7.18.1-1.fc9.x86_64.rpmパッケージをダウンロードするには、ここをクリックしてください。