Im Enginsight SIEM wird die Verbindung zu Apache Solr immer wieder unterbrochen. Was kann ich tun?

Der SIEM Index Server in Enginsight basiert auf Apache Solr und ist die primäre Datenbank für das SIEM. Er indexiert Logs und macht diese einfach durchsuchbar.

Wenn in deinem Enginsight Setup das Problem auftritt, dass die Verbindung zu Apache Solr immer wieder funktioniert und dann wieder abbricht, kann das verschiedene Ursachen haben.

Im folgenden Artikel zeigen wir dir, welche Punkte du überprüfen solltest, um das Problem zu identifizieren, und wie du das Problem beheben kannst.

---

Verwendung eines Proxys

Wenn du einen Proxy verwendest, solltest du folgendes überprüfen um auszuschließen, dass der Proxy die Ursache ist, dass Anfragen an Apache Solr nicht zugelassen werden:

1. IP-Adresse auf die Proxy-Whitelist setzen

Apache Solr sendet unter anderem HTTP-Anfragen an sich selbst über die IP-Adresse, die in der Docker-Konfigurationsdatei für den SIEM Index Server angegeben ist. Damit diese Anfragen nicht durch deinen Proxy blockiert werden, musst du diese IP-Adresse explizit auf die Whitelist des Proxys setzen.

Überprüfe daher, ob du in deiner Proxy-Konfiguration den Parameter NO_PROXY an allen nötigen Stellen korrekt gesetzt hast und die entsprechende IP-Adresse dort hinterlegt ist.

2. Proxy-Umgebung in Docker hinterlegen

Die Proxy-Umgebung muss explizit auf dem SIEM Management Server, dem SIEM Index Server sowie in den Docker-Containern solr , loggernaut und traicer hinterlegt werden.

Überprüfe, ob alle Konfigurationsanpassungen entsprechend vorgenommen wurden und der Proxy korrekt hinterlegt wurde.

Mehr Informationen, welche Konfigurationsanpassungen du bei Verwendung eines Proxys vornehmen musst, findest du in der Knowledge Base: Welche Konfigurationsanpassungen muss ich in Enginsight vornehmen, wenn ich einen Proxy verwende?

---

Verwendung eines gehärteten DNS

Apache Solr macht bei HTTP-Anfragen einen Reverse DNS Lookup auf die Ziel-IP-Adresse, um den zugehörigen Hostnamen zu ermitteln. Wenn du ein gehärtetes DNS (Domain Name System) verwendest, können solche Anfragen als bösartig erkannt und blockiert werden.

In diesem Fall hast du die Möglichkeit, den Reverse DNS Lookup durch Solr auf den Host selbst zu begrenzen und so ein Blockieren der Verbindung durch dein DNS zu verhindern.

Nimm dazu folgende Schritte vor:

1

Logge dich auf dem SIEM Index Server ein.

2

Öffne mit folgendem Befehl die Docker-Konfigurationsdatei docker-compose.yml:

sudo nano /opt/enginsight/enterprise/docker-compose.yml

3

Passe die Docker-Konfiguration wie folgt an:

version: '3'
services: 
    solr: 
        restart: always 
        image: solr:${SOLR_VERSION}
        networks:
            solrnet
        extra_hosts:
            - "docker-gateway:172.18.0.1" 
        ports: 
            - <IPAdresseSIEMIndexServer>":8983:8983" 
        volumes: 
            - /var/solr:/var/solr/data 
        environment: 
            - ZK_HOST=<IPAdresseSIEMManagementServer>:2181 
            - SOLR_HOST=<IPAdresseSIEMIndexServer> 
            - SOLR_OPTS=-XX:G1HeapRegionSize=32M -Dpkiauth.ttl=5000 -Dsolr.log.level=WARN 
            - SOLR_JAVA_MEM=-Xms<40%_RAM_GB>g -Xmx<50%_RAM_GB>g 
        command: solr -f -cloud

networks:
    solrnet:
        driver: bridge
        ipam:
            driver: default
            config:
                - subnet: 172.18.0.0/16
                  gateway: 172.18.0.1

Bitte beachte: Sollte die Angabe des Subnetzes Probleme verursachen, weil es mit einem bestehenden Docker-Netzwerk kollidiert, passe die IP-Adresse für das Gateway entsprechend an, bspw. 172.19.0.1 statt 172.18.0.1.

4

Speichere die Änderungen in der Konfigurationsdatei (Strg + o) und bestätige den Speicherprozess. Schließe die Datei (Strg + x).

5

Starte nun Solr mit den neuen Einstellungen mit folgendem Befehl neu:

sudo docker compose -f /opt/enginsight/enterprise/docker-compose.yml up -d --force-recreate

---