Installation eines QRadar Daten-Gateways auf Google Cloud Platform

Sie stellen über ein Datengateway eine Verbindung zu IBM® QRadar® on Cloud her. Sie können das Datengateway mit dem bereitgestellten Image auf einer Google Cloud Platform (GCP)-Instanz installieren.

1. Erstellen Sie in GCP einen Projektnamen, der einen vollständig qualifizierten Domänennamen (FQDN) mit maximal 63 Zeichen zulässt. Der vollständig qualifizierte Domänenname besteht aus dem Bereitstellungsnamen gefolgt von -vm, der Zone, der Region, dem Projektnamen und der Zeichenfolge .internal.

   Lautet der Projektname beispielsweise abc-stq-xyz, der Bereitstellungsname der Appliance qr-con, die Zone us-east4-c und die Region c, so lautet der vollständig qualifizierte Domänenname qr-con-vm.us-east4-c.c.abc-stq-xyz.internal. Der Zonenname kann 10 bis 25 Zeichen lang sein. Je nach Länge des Zonennamens verbleiben dann 25 bis 40 Zeichen für den Projekt- und den Bereitstellungsnamen.

2. Konfigurieren Sie in dem Projekt, das Sie in Schritt 1 erstellt haben, Ihre Netzschnittstelle.
   1. Klicken Sie auf Google Cloud Platform > VPC-Netzwerk > VPC-Netzwerke.
      

      _{©2019 Google LLC, mit Genehmigung verwendet. Google und das Google-Logo sind eingetragene Marken der Google LLC.}
   2. Klicken Sie auf CREATE VPC NETWORK.
   3. Geben Sie Ihrem Netz einen Namen und konfigurieren Sie die Einstellungen wie erforderlich. Setzen Sie DNS-Serverrichtlinie auf Keine Serverrichtlinie.
   4. Klicken Sie auf Erstellen.
3. Fügen Sie dem Projekt einen SSH-Schlüssel hinzu, sofern noch nicht geschehen. Der Schlüssel muss für einen Benutzer namens cloud-usererstellt werden.
   1. Klicken Sie auf Google Cloud Platform > Compute Engine > Metadaten.
      

      _{©2019 Google LLC, mit Genehmigung verwendet. Google und das Google-Logo sind eingetragene Marken der Google LLC.}
   2. Klicken Sie auf SSH-Schlüssel.
   3. Klicken Sie auf Bearbeiten.
   4. Klicken Sie auf Element hinzufügen.
   5. Geben Sie einen SSH-Schlüssel gefolgt von cloud-userein.
   6. Klicken Sie auf Speichern.
4. Laden Sie das QRadar 7.5.0 UP7 Virtual Appliance Image von der IBM Fix Central Website herunter: https://www.ibm.com/support/fixcentral/swg/selectFixes?product=ibm%2FOther+software%2FIBM+Security+QRadar+SIEM&fixids=7.5.0-UP7-CMP-GoogleCloud-SingleImage-QRADAR-202309270935&function=fixId&parent=IBM%20Security
   1. Laden Sie das Image und die .sig -Dateien herunter. Der Download kann einige Stunden dauern.
   2. Verwenden Sie die Datei " .sig, um die Integrität des heruntergeladenen Bildes zu überprüfen. Weitere Informationen finden Sie unter How to validate downloads from IBM Fix Central are trusted and code signed.
5. Gehen Sie zu Google Cloud und laden Sie die Bilddatei in Google Cloud Storage hoch. Der Upload kann bis zu einer Stunde dauern.
   Achtung: Benennen Sie die Bilddatei nicht um. Die Umbenennung des Bildes kann dazu führen, dass der Import fehlschlägt.
6. Führen Sie den folgenden Befehl in der Shell „ Google Cloud “ aus, um das Rohbild in Ihr Konto „ GCP “ zu importieren.

   gcloud compute images create <IMAGE NAME> --project=<GCP PROJECT NAME> --source-uri gs://<BUCKET NAME>/<RAW FILE PATH> --guest-os-features=MULTI_IP_SUBNET,UEFI_COMPATIBLE

   Der Importvorgang kann bis zu einer Stunde dauern.
7. Gehen Sie zu Navigationsmenü > Computer-Engine > Bilder, wählen Sie das importierte Bild aus und klicken Sie dann auf Instanz erstellen.
8. Richten Sie für die Appliance einen Bereitstellungsnamen ein, der einen vollständig qualifizierten Domänennamen (FQDN) mit maximal 63 Zeichen zulässt. Der vollständig qualifizierte Domänenname besteht aus dem Bereitstellungsnamen, der Zone, dem Projektnamen und der Zeichenfolge .internal.

   Lautet der Projektname beispielsweise abc-stq-xyz, der Bereitstellungsname der Appliance qr-con, die Zone us-east4-c und die Region c, so lautet der vollständig qualifizierte Domänenname qr-con-vm.us-east4-c.c.abc-stq-xyz.internal. Der Zonenname kann 10 bis 25 Zeichen lang sein. Je nach Länge des Zonennamens verbleiben dann 25 bis 40 Zeichen für den Projekt- und den Bereitstellungsnamen.

9. Wählen Sie die Zone aus, in der sich Ihr Projekt befindet.
10. Wählen Sie einen Maschinentyp aus, der die Systemmindestvoraussetzungen erfüllt.
    Weitere Informationen finden Sie unter QRadar on Cloud -Onboarding.
11. Wählen Sie die von Ihnen erstellte Netzwerkschnittstelle aus.
12. Stellen Sie die Firewallregeln für Ihre Appliance so ein, dass Port 22 und 443 nur für vertrauenswürdige IP-Adressen durchgängig sind, und erstellen Sie auf diese Weise eine Zulassungsliste der IP-Adressen, die auf Ihre QRadar-Bereitstellung zugreifen können.
    In einer QRadar -Implementierung mit mehreren Geräten können auch andere Ports zwischen verwalteten Hosts zulässig sein. Weitere Informationen zu den Ports, die möglicherweise in Ihrer Implementierung zugelassen werden müssen, finden Sie unter Von QRadarverwendete allgemeine Ports und Server.
13. Ich akzeptiere die Nutzungsbedingungen des Marktplatzes „ GCP “.
14. Klicken Sie auf Implementieren.
15. Fordern Sie eine statische IP-Adresse für Ihre Appliance an.
    1. Klicken Sie auf Google Cloud Platform > Compute Engine > VM-Instanzen.
    2. Wählen Sie Ihre Appliance aus der Liste aus.
    3. Klicken Sie auf Bearbeiten.
    4. Bearbeiten Sie die Netzschnittstelle.
       • Setzen Sie den Parameter Internal IP type (Interner IP-Typ) auf Static (Statisch) und reservieren Sie sich eine neue IP-Adresse.
       • Wählen Sie eine statische externe IP-Adresse aus oder erstellen Sie eine.
    5. Klicken Sie auf Fertig.
16. Wenn die Instanz bereit ist, melden Sie sich mit SSH und Ihrem Schlüsselpaar an, indem Sie den folgenden Befehl eingeben:

    ssh -i <key.pem> cloud-user@<public_IP_address>

17. Geben Sie den folgenden Befehl ein, um die Länge Ihres FQDN zu überprüfen:

    hostname -f | wc -c

    Wenn der Befehl einen Wert größer 63 zurückgibt, schlägt die Installation fehl. Wiederholen Sie dieses Verfahren in diesem Fall mit einem kürzeren VM-Namen.
18. Geben Sie den folgenden Befehl ein:

    sudo /root/setup_mh 7000

19. Sie werden vom System aufgefordert, ein Rootkennwort festzulegen. Das Kennwort muss folgende Bedingungen erfüllen:
    • Enthält mindestens 5 Zeichen
    • Enthält keine Leerzeichen
    • Enthält mindestens eines der folgenden Sonderzeichen: @, #, ^ und *.

    Sie können dieses Kennwort erst nach Abschluss des Installationsprozesses ändern. Das Rootkennwort ist gleichzeitig das Kennwort des Gateway-Hosts.

20. Aktualisieren Sie das Datengateway auf dieselbe Version von QRadar wie Ihre Konsole.
    1. Melden Sie sich bei der Konsole an.
    2. Um die Version von QRadar zu suchen, unter der sich die Konsole befindet, klicken Sie auf das Navigationsmenü () und anschließend auf Produktinfo.
    3. Laden Sie die SFS-Datei für die Version von QRadar von Fix Central herunter (https://www.ibm.com/support/fixcentral).
    4. Kopieren Sie die SFS-Datei des Software-Updates auf Ihr Datengateway.
    5. Wenn Sie die Verbindung zu Ihrer ssh -Sitzung getrennt haben, verwenden Sie ssh , um sich wieder bei Ihrem Datengateway anzumelden.
    6. Verschieben Sie die SFS-Datei auf Ihrem Datengateway in das Verzeichnis /storetmp , indem Sie folgenden Befehl eingeben:

       sudo mv <version_number>_QRadar_patchupdate-<full_version_number>.sfs /storetmp

    7. Öffnen Sie mit folgendem Befehl die Superuser-Shell:

       sudo su -

    8. Erstellen Sie das Verzeichnis /media/updates , indem Sie folgenden Befehl eingeben:

       mkdir /media/updates

    9. Hängen Sie mit folgendem Befehl die SFS-Datei an:

       mount -o loop -t squashfs /storetmp/<version_number>_QRadar_patchupdate-<full_version_number>.sfs /media/updates

    10. Führen Sie mit folgendem Befehl das Installationsprogramm für das Software-Update aus:

        /media/updates/installer

21. Verwenden Sie die App " QRadar on Cloud Self Serve", um ein Token für Ihr Datengateway zu generieren und die IP-Adresse des Datengateways in die Zulassungsliste aufzunehmen. Weitere Informationen finden Sie unter Zugriffsmanagement auf die Konsole.
22. Nach dem Empfang des Tokens gehen Sie folgendermaßen vor:
    1. Wenn Sie die Verbindung zu Ihrer ssh -Sitzung getrennt haben, verwenden Sie ssh , um sich wieder bei Ihrem Datengateway anzumelden.
    2. Da die Appliance nach dem letzten Schritt neu gestartet wurde, müssen Sie die Superuser-Shell nun erneut mit folgendem Befehl öffnen:

       sudo su -

    3. Geben Sie den folgenden Befehl auf dem neu hinzugefügten Datengateway ein, um ein bekanntes Problem mit einer sporadisch auftretenden Verbindung zu mindern:

       mkdir /etc/systemd/system/tunnel-monitor.service.d/; printf "[Service]\nExecStart=\nExecStart=/bin/true\n" > /etc/systemd/system/tunnel-monitor.service.d/override.conf; chmod 644 /etc/systemd/system/tunnel-monitor.service.d/override.conf; systemctl daemon-reload

    4. Geben Sie den folgenden Befehl ein, um die Erstkonfiguration des Datengateways fertigzustellen:

       /opt/qradar/bin/setup_qradar_host.py mh_setup interactive -p

23. Schließen Sie die Superuser-Shell, indem Sie folgenden Befehl eingeben:

    exit