WinCollect -Anwendung auf QRadar -Appliances installieren und Upgrade durchführen

Wenn Sie eine Implementierung von WinCollect -Agenten über die QRadar® -Benutzerschnittstelle verwalten möchten, müssen Sie zunächst Ihre QRadar -Konsole auf eine unterstützte Version von WinCollect aktualisieren, indem Sie das WinCollect Agent SFS-Bundle verwenden. Dieses Bundle enthält die erforderlichen Protokolle zur Aktivierung der Kommunikation zwischen QRadar und den verwalteten WinCollect -Agenten auf den Windows-Hosts. Sowohl für die QRadar -Konsole als auch für verwaltete WinCollect -Agenten kann ein Upgrade auf neuere Versionen von WinCollect durchgeführt werden, indem die neuere Version des SFS-Bundles in der QRadar -Konsole installiert wird.

1. Laden Sie die SFS-Paketinstallationsdatei für den WinCollect -Agenten von der IBM® -Website herunter: (http://www.ibm.com/support).
   Hinweis: Der Installationsprozess startet Services in der Konsole erneut, wodurch eine Lücke in der Ereigniserfassung entsteht, bis Services erneut gestartet werden. Planen Sie das Upgrade von WinCollect während eines Wartungsfensters, um Benutzerunterbrechungen zu vermeiden.
2. Melden Sie sich über SSH als Rootbenutzer bei der QRadar -Konsole an.
3. Erstellen Sie bei Erstinstallationen die Verzeichnisse /storetmp und /media/updates , falls sie nicht vorhanden sind. Geben Sie die folgenden Befehle ein:

   mkdir /media/updates
   mkdir /storetmp

4. Kopieren Sie mithilfe eines Programms wie WinSCPdie heruntergeladene SFS-Datei in /storetmp auf Ihrer QRadar -Konsole.
5. Geben Sie den folgenden Befehl ein, um zum Verzeichnis /storetmp zu wechseln: cd /storetmp
6. Geben Sie den folgenden Befehl ein, um die SFS-Datei anzuhängen: mount -t squashfs -o loop <Installer_file_name.sfs> /media/updates
   Beispiel: mount -t squashfs -o loop 730_QRadar_wincollectupdate-7.3.0-24.sfs /media/updates
7. Geben Sie zum Ausführen des WinCollect -Installationsprogramms den folgenden Befehl ein und befolgen Sie dann die Eingabeaufforderungen: /media/updates/installer
   Hinweis: Um mit der Aktualisierung des WinCollect -Agenten fortzufahren, müssen Sie Services in QRadar erneut starten, um Protokollaktualisierungen anzuwenden. Die folgende Nachricht wird angezeigt:

   WARNING: Services need to be shutdown in order to apply patches.
   This will cause an interruption to data collection and correlation.
   Do you wish to continue (Y/N)?

8. Geben Sie Y ein, um mit der Aktualisierung fortzufahren.
   Während der Aktualisierung installiert der SFS neue Protokollaktualisierungen. Wenn Ihre SSH-Sitzung (Secure Shell) unterbrochen wird, während das Upgrade in Bearbeitung ist, wird das Upgrade fortgesetzt. Wenn Sie Ihre SSH-Sitzung erneut öffnen und das Installationsprogramm erneut ausführen, wird die Patchinstallation fortgesetzt. Nach Abschluss der Installation werden Services erneut gestartet und die Benutzerschnittstelle ist verfügbar.

   Hinweis: Während der Installation wird die folgende Nachricht angezeigt:

   Patch 144249
   This patch includes a new version of the WinCollect Configuration Server.
   For this new version to run properly, the event collection service needs to be restarted.
   If you choose to not restart the service, agents cannot get new configurations and code updates until you restart it.
   
   Choices:
   1. Restart event collection service at the end of the patch installation, on the Console and on all managed hosts patched from the Console.
   2. Do not restart event collection service yet. You will need to restart it in the user interface (Advanced > Restart Event Collection Services).
   3. Abort patch.

   Nachdem Sie eine Option ausgewählt haben, wird die Patchinstallation fortgesetzt. Drücken Sie anschließend die Eingabetaste, um die Patchanzeige zu verlassen.
9. Wenn Sie in Schritt 8 die zweite Option ausgewählt haben, müssen Sie die folgenden Schritte ausführen:
   • Klicken Sie in den Administratoreinstellungen für QRadar auf Erweitert > Vollständige Konfiguration implementieren.
   • Klicken Sie in den Administratoreinstellungen für QRadar auf Erweitert > Ereigniserfassungsservices erneut starten.
10. Geben Sie den folgenden Befehl ein, um die SFS-Datei von der Konsole abzuhängen: umount /media/updates
11. Optional: Stellen Sie sicher, dass WinCollect -Agenten für das Akzeptieren ferner Aktualisierungen konfiguriert sind:
    1. Melden Sie sich bei QRadaran.
    2. Klicken Sie im Navigationsmenü auf Datenquellen.
    3. Klicken Sie auf das Symbol WinCollect .
    4. Überprüfen Sie die Spalte Automatische Aktualisierungen aktiviert und wählen Sie WinCollect -Agenten mit falschem Wert aus.
    5. Klicken Sie auf Automatische Aktualisierungen aktivieren/inaktivieren.