Anwendungsfall: Large Retail Point of Sale (POS) Collection

Der Kunde muss Windows-Sicherheitsereignisprotokolle von allen Point of Sale-Geräten in jedem seiner Einzelhandelsgeschäfte erfassen.

Architektur

Gerätezähler
4.500 POS-Einheiten
Einzelhandelsgeschäfte
500 (~ 9 POS pro Filiale)
QRadar -Implementierung
1 Konsole, 2 Ereigniskollektoren

Sichtbarkeit

Keine Sichtbarkeit von POS-Einheiten außerhalb des Einzelhandelsgeschäfts

Option 1-POS-Sichtbarkeit für Domänencontroller im lokalen Einzelhandelsgeschäft

Vorgeschlagene Lösung
POS-Sichtbarkeit für Domänencontroller des lokalen Einzelhandelsgeschäfts. WEF POS-Implementierung unter Verwendung eines lokalen WEF-Servers
Vorteile
POS-Einheiten können aktiviert und inaktiviert werden und senden Ereignisse an den WEF-Collector, sobald sie eine GPO-Aktualisierung erhalten. Es ist nicht erforderlich, POS-Einheiten zu verwalten, nachdem GPO konfiguriert wurde.
Nachteile

  • IT Group muss 500 WEF Collection Server überwachen, um sicherzustellen, dass WEF konfiguriert und funktionsfähig ist.

  • GPO muss für jedes Einzelhandelsgeschäft konfiguriert werden. Sie müssen sicherstellen, dass jeder POS auf den richtigen WEF-Collector verweist.

  • WEF muss auf einem Domänencontroller konfiguriert werden.

Option 1a -POS-Sichtbarkeit außerhalb des Einzelhandelsgeschäfts

Vorgeschlagene Lösung
Windows-Ereignisweiterleitung-ferner WEF-Server. WEF POS-Implementierung mit einem fernen WEF-Server
Vorteile
  • POS-Einheiten können aktiviert und inaktiviert werden und senden Ereignisse an den WEF-Collector, sobald sie eine GPO-Aktualisierung erhalten. Es ist nicht erforderlich, POS-Einheiten zu verwalten, nachdem GPO konfiguriert wurde.
  • 1 WEF-Collector kann für die Verarbeitung von Datenverkehr aus allen Einzelhandelsgeschäften konfiguriert werden. Der Collector kann 10k Endpunkte verarbeiten. Der Kunde muss prüfen, ob die EPS-Raten nicht höher sind als die unterstützten 10k EPS.
  • Stellen Sie Protokolle von einem Server zusammen, um Probleme zu beheben.
Nachteile
POS-Einheiten benötigen Transparenz außerhalb des Einzelhandelsgeschäfts.

Option 2- WinCollect Agent, der auf jeder POS-Einheit installiert ist

Dazu gehört die Möglichkeit, WinCollect als Teil des "Golden Base Image" zu definieren. Auf diese Weise kann der Kunde jederzeit neue Register in Betrieb nehmen und WinCollect konfiguriert und zum Senden von Ereignissen bereit machen. Für diese Option ist es erforderlich, dass der Agent auf der POS-Einheit installiert wird, um Einblick in eine QRadar -Appliance vor Ort im Einzelhandelsgeschäft zu erhalten oder um Einblick in einen QRadar -Ereignisprozessor/-Collector außerhalb des Einzelhandelsstandorts zu erhalten.
Vorgeschlagene Lösung
WinCollect Agent pro POS. WinCollect Agent pro POS-Implementierung
Vorteile
  • Nachdem die erste Arbeit zum Erstellen eines WinCollect -Image abgeschlossen ist, wäre das Ein-und Ausschalten von POS-Einheiten Teil des Standardprozesses.
  • Keine Verwaltung erforderlich, um Agenten auf jeder POS-Einheit zu installieren.
Nachteile
  • Das Zusammenstellen von Protokollen von POS zur Fehlerbehebung kann einige Zeit in Anspruch nehmen.
  • Die Aktualisierung des WinCollect -Agenten auf neue Versionen erfordert neue Tests und Aktualisierungen für das Basisimage.

Option 3- WinCollect Agent, der auf dem lokalen Domänencontroller oder Server installiert ist

Wenn dieser Server für QRadarsichtbar ist, kann er im verwalteten Modus installiert werden. Die Agenten könnten dann so konfiguriert werden, dass sie jede der POS-Einheiten über Fernzugriff abfragen. Bei 500 Einzelhandelsgeschäften konnte der Kunde jeden Agenten im verwalteten Modus installieren, aufgeteilt auf die Konsole und Ereigniskollektoren/Prozessoren. Die Verwaltung der Lösung wäre sehr schwierig und erfordert viel Wartung, da neue POS ein-und ausgeschaltet werden.
Vorgeschlagene Lösung
WinCollect Agent Remote-Polling-Point-of-Sale. WinCollect Agent Remote Polling POS-Implementierung
Vorteile
  • Verwaltung von Agenten über die QRadar -Konsole.
  • Es ist einfacher, Änderungen daran vorzunehmen, welche Ereignisse erfasst werden und welche Daten gefiltert werden.
Nachteile
Der Kunde ist für das Hinzufügen/Subtrahieren von POS-Einheiten verantwortlich, bei denen der Agent ein Remote-Polling durchführt. Dies würde in Zeiten mit hohem Einzelhandelsvolumen zunehmen.