Installation eines QRadar -Datengateways in IBM Cloud VPC

Sie stellen über ein Datengateway eine Verbindung zu IBM® QRadar® on Cloud her. Sie können das Daten-Gateway unter IBM Cloud VPC installieren.

Vorbereitende Schritte

Stellen Sie sicher, dass Ihre Appliance die Anforderungen des Datengateway-Systems erfüllt. Siehe Systemvoraussetzungen für Datengateways.

Planen Sie ein Wartungsfenster für diese Task ein und stellen Sie sicher, dass die Benutzer keine Änderungen implementieren, solange das Datengateway Ihrer Implementierung hinzugefügt wird.

Der vollständige Hostname der Konsole, mit der Sie sich über Ihre Gateway-Appliance verbinden, muss Ihnen bekannt sein.

Informationen zu dieser Task

Wenden Sie sich bei Problemen mit QRadar Software an den IBM Support. Bei Problemen mit der IBM Cloud® VPC -Infrastruktur lesen Sie bitte die IBM Cloud VPC -Dokumentation ( https://cloud.ibm.com/docs ). Wenn der IBM -Support feststellt, dass Ihr Problem durch die IBM Cloud VPC -Infrastruktur verursacht wird, müssen Sie sich an IBM Cloud wenden, um Unterstützung bei der Lösung des zugrunde liegenden Problems zu erhalten.

Die verwendeten privaten und öffentlichen IP-Adressen müssen statisch sein.

Datengateways müssen nacheinander installiert werden. Wenn Sie mehrere Datengateways installieren, warten Sie, bis die Installation eines Gateways abgeschlossen ist, bevor Sie das nächste installieren.

Vorgehensweise

Laden Sie die .qcow2 -Imagedatei herunter.
1. Rufen Sie den Abschnitt CLOUD MARKET PLACE in Fix Central auf (https://www.ibm.com/support/fixcentral/swg/selectFixes?parent=IBM%20Security&product=ibm/Other+software/IBM+Security+QRadar+SIEM&release=7.4.0&platform=Linux®& function = all).
2. Klicken Sie auf 7.4.3-CMP-IBMCloudVPC-MH-QRADAR-20220329114452.
3. Laden Sie die Dateien .qcow2 und .sig herunter.
  Der Download der Datei .qcow2 kann mehrere Stunden dauern.
4. Verwenden Sie die Datei .sig , um die Integrität der Datei .qcow2 zu prüfen.
  Weitere Informationen finden Sie unter Vorgehensweise zum Überprüfen, ob Downloads von IBM Fix Central vertrauenswürdig und codesigniert sind.
Laden Sie die Bilddatei .qcow2 hoch.
1. Rufen Sie IBM Cloud auf (https://cloud.ibm.com/) und erstellen Sie ein neues Speicherbucket.
  Sie benötigen die Position, die von Ihrem Speicherbucket in Schritt 3 verwendet wird.
2. Laden Sie die Datei .qcow2 hoch.
  Der Upload kann bis zu einer Stunde dauern. Benennen Sie die Datei .qcow2 nicht um. Durch die Umbenennung der Datei schlägt der Import fehl.
Importieren Sie die Datei .qcow2 .
1. Klicken Sie in IBM Cloudauf Navigationsmenü () > VPC-Infrastruktur > Angepasste Images.
2. Klicken Sie auf Erstellen.
3. Geben Sie einen Namen für das Image ein und wählen Sie eine Ressourcengruppe für das Image aus, zu dem das Image gehören soll.
4. Setzen Sie Source auf Cloud Object Storage.
5. Wählen Sie die Cloud Object Storage -Serviceinstanz, die Position, die von Ihrem Speicherbucket verwendet wird, Ihr Speicherbucket und die hochgeladene Datei .qcow2 aus.
  
  Hinweis: Wenn Sie Ihr Image in mehrere Regionen importieren möchten, müssen Sie Schritt 2 wiederholen und in jeder gewünschten Region ein neues Speicherbucket erstellen.
6. Setzen Sie Betriebssystem auf Red Hat Enterprise Linuxund Version auf red-7-amd64-byol.
7. Klicken Sie auf Angepasstes Image erstellen.
  Der Import kann bis zu 10 Minuten dauern.
Nach dem ImagestatusAvailable, erstellen Sie die Instanz.
1. Klicken Sie auf > VPC-Infrastruktur > Virtual Server-Instanzen.
2. Klicken Sie auf Create +.
3. Setzen Sie die Architektur auf Intel.
4. Setzen Sie Hosting type auf Public.
5. Setzen Sie die Position auf dieselbe Region, in die Sie Ihr Image in Schritt 3 importiert haben.
6. Geben Sie Ihrer Instanz einen Namen, der nicht länger als 57 Zeichen ist.
  Der Name darf nur alphanumerische Zeichen und das Symbol - enthalten.
7. Wählen Sie eine Ressourcengruppe für die Instanz.
8. Wenn Sie Ihre Instanz einfacher identifizieren möchten, geben Sie einen Tag für Ihre Instanz ein.
9. Setzen Sie Betriebssystem auf Angepasstes Image.
  Das Fenster Angepasstes Bild auswählen wird angezeigt.
10. Wählen Sie das Bild aus, das Sie in Schritt 3 importiert haben, und klicken Sie anschließend auf Auswählen.
11. Klicken Sie auf Alle Profile anzeigen.
  Das Fenster Instanzprofil auswählen wird angezeigt.
12. Wählen Sie ein Profil aus, das die Systemanforderungen des Datengateways erfüllt. Siehe Systemvoraussetzungen für Datengatewaysund klicken Sie dann auf Speichern.
  
  Wichtig: Instanzen, die Instanzspeicher verwenden, werden nicht unterstützt.
13. Wählen Sie ein SSH-Schlüsselpaar aus oder erstellen Sie es.
  Sie benötigen ein SSH-Schlüsselpaar, um über SSH auf die Instanz zuzugreifen.
14. Klicken Sie im Abschnitt Datenträger auf Erstellen +.
15. Geben Sie einen Namen für die zweite Platte ein.
16. Schätzen Sie den Speicherbedarf und geben Sie eine Größe für die zweite Platte in GB ein.
  Die Mindestgröße beträgt 250 GB. Die hinzugefügte Platte muss die zweite Platte sein. Es kann nicht die dritte oder größere Platte sein.
  Nach Abschluss der Installation enthält diese Platte die Partitionen /store und /transient.
  
  Warnung: Sie können den Speicher nach der Installation nicht vergrößern.
17. Wählen Sie ein Profil aus, legen Sie die IOPS fest und klicken Sie auf Create.
18. Wählen Sie eine Virtual Private Cloudaus.
19. Klicken Sie im Bereich Netzschnittstellen auf das -Symbol neben eth0.
20. Lassen Sie die Schnittstelle auf eth0 gesetzt und wählen Sie ein Teilnetzaus.
21. Setzen Sie Reservemethode auf Angeben und wählen Sie eine reservierte private IP-Adresse aus Ihrem Teilnetz aus.
  Diese IP-Adresse ist die private IP-Adresse, die Ihrer Instanz zugeordnet ist.
22. Wählen Sie eine Sicherheitsgruppe aus, die die Ports 22 und 443 nur von vertrauenswürdigen IP-Adressen zulässt, und klicken Sie anschließend auf Speichern.
  In einer QRadar -Implementierung mit mehreren Geräten müssen viele Ports zwischen verwalteten Hosts zulässig sein. Weitere Informationen dazu, welche Ports möglicherweise in Ihrer Implementierung zugelassen werden müssen, finden Sie unter QRadar -Portnutzung. Schränken Sie die Ports ein, die nicht benötigt werden, indem Sie eine Firewall oder eine andere Technologie verwenden, mit der Sie die Ports einschränken können.
23. Klicken Sie auf Virtuellen Server erstellen.
Wenn der Instanzstatus lautetRunningOrdnen Sie Ihrer Instanz eine variable IP-Adresse zu.
1. Klicken Sie auf die erstellte Instanz.
2. Klicken Sie im Bereich Netzschnittstellen auf das -Symbol neben eth0.
3. Wählen Sie in der Dropdown-Liste Variable IP-Adresse eine IP-Adresse aus oder wählen Sie Neue variable IP-Adresse reservieren aus und klicken Sie auf Speichern.
Installieren Sie das Datengateway und legen Sie das Rootkennwort fest.
1. Wenn die variable IP-Adresse zugeordnet ist, melden Sie sich mit dem folgenden Befehl an:
```
ssh -i <private_key> cloud-user@<public_IP_address>
```
2. Geben Sie den folgenden Befehl ein:
```
sudo /root/setup_mh 7000
```
3. Das System fordert Sie auf, das Rootkennwort festzulegen. Legen Sie ein sicheres Kennwort fest, das die folgenden Kriterien erfüllt.
  - Enthält mindestens 5 Zeichen
  - Enthält keine Leerzeichen
  - Enthält mindestens eines der folgenden Sonderzeichen: @, #, ^und *.
Führen Sie ein Upgrade des Datengateways auf dieselbe Version von QRadar wie Ihre Konsole durch.
1. Melden Sie sich bei der Konsole an.
2. Um die Version von QRadar zu suchen, unter der sich die Konsole befindet, klicken Sie auf das Navigationsmenü () und anschließend auf Produktinfo.
3. Laden Sie die SFS-Datei für die Version von QRadar von Fix Central herunter (https://www.ibm.com/support/fixcentral).
4. Kopieren Sie die SFS-Datei des Software-Updates auf Ihr Datengateway.
5. Wenn Sie die Verbindung zu Ihrer ssh -Sitzung getrennt haben, verwenden Sie ssh , um sich wieder bei Ihrem Datengateway anzumelden.
6. Verschieben Sie die SFS-Datei auf Ihrem Datengateway in das Verzeichnis /storetmp , indem Sie folgenden Befehl eingeben:
```
sudo mv <version_number>_QRadar_patchupdate-<full_version_number>.sfs /storetmp
```
7. Öffnen Sie mit folgendem Befehl die Superuser-Shell:
```
sudo su -
```
8. Erstellen Sie das Verzeichnis /media/updates , indem Sie folgenden Befehl eingeben:
```
mkdir /media/updates
```
9. Hängen Sie mit folgendem Befehl die SFS-Datei an:
```
mount -o loop -t squashfs /storetmp/<version_number>_QRadar_patchupdate-<full_version_number>.sfs /media/updates
```
10. Führen Sie mit folgendem Befehl das Installationsprogramm für das Software-Update aus:
```
/media/updates/installer
```
Verwenden Sie die App " QRadar on Cloud Self Serve", um ein Token für Ihr Datengateway zu generieren und die IP-Adresse des Datengateways in die Zulassungsliste aufzunehmen. Weitere Informationen finden Sie unter Zugriffsmanagement auf die Konsole.
Nach dem Empfang des Tokens gehen Sie folgendermaßen vor:
1. Wenn Sie die Verbindung zu Ihrer ssh -Sitzung getrennt haben, verwenden Sie ssh , um sich wieder bei Ihrem Datengateway anzumelden.
2. Da die Appliance nach dem letzten Schritt neu gestartet wurde, müssen Sie die Superuser-Shell nun erneut mit folgendem Befehl öffnen:
```
sudo su -
```
3. Geben Sie den folgenden Befehl auf dem neu hinzugefügten Datengateway ein, um ein bekanntes Problem mit einer sporadisch auftretenden Verbindung zu mindern:
```
mkdir /etc/systemd/system/tunnel-monitor.service.d/; printf "[Service]\nExecStart=\nExecStart=/bin/true\n" > /etc/systemd/system/tunnel-monitor.service.d/override.conf; chmod 644 /etc/systemd/system/tunnel-monitor.service.d/override.conf; systemctl daemon-reload
```
4. Geben Sie den folgenden Befehl ein, um die Erstkonfiguration des Datengateways fertigzustellen:
```
/opt/qradar/bin/setup_qradar_host.py mh_setup interactive -p
```
Schließen Sie die Superuser-Shell, indem Sie folgenden Befehl eingeben:
```
exit
```

Nächste Schritte

Zielprozessor für Datengateway bearbeiten