Caso práctico: Recogida en puntos de venta (TPV) de grandes minoristas
El cliente necesita recopilar registros de sucesos de seguridad de Windows de todos los dispositivos de punto de venta en cada una de sus tiendas minoristas.
Arquitectura
- Recuento de dispositivos
- 4.500 dispositivos POS
- Tiendas minoristas
- 500 (~ 9 POS por tienda)
- Despliegue de QRadar
- 1 consola, 2 recopiladores de sucesos
Visibilidad
Sin visibilidad de dispositivos POS fuera de la tienda minorista
Opción 1-Visibilidad de POS en el controlador de dominio de la tienda minorista local
- Solución propuesta
- Visibilidad de POS en el controlador de dominio de la tienda minorista local.
- Ventajas
- Los dispositivos POS se pueden subir y bajar y empezarán a enviar sucesos al recopilador WEF una vez que reciban la actualización de GPO. No es necesario gestionar las tiendas de dispositivos POS una vez que GPO está configurado.
- Desventajas
El grupo de TI debe supervisar 500 servidores de colección WEF para asegurarse de que WEF está configurado y funciona.
- El GPO debe estar configurado para cada tienda minorista. Debe asegurarse de que cada POS apunte al recopilador WEF correcto.
WEF debe estar configurado en un controlador de dominio.
Opción 1a -Visibilidad de POS fuera de la tienda minorista
- Solución propuesta
- Reenvío de sucesos de Windows-servidor WEF remoto.
- Ventajas
- Los dispositivos POS se pueden subir y bajar y empezarán a enviar sucesos al recopilador WEF una vez que reciban la actualización de GPO. No es necesario gestionar las tiendas de dispositivos POS una vez que GPO está configurado.
- 1 WEF Collector se puede configurar para manejar el tráfico de todas las tiendas minoristas. El recopilador puede manejar 10k puntos finales. El cliente debe validar que las tarifas de EPS no son superiores a las 10k EPS soportadas.
- Recopile registros de 1 servidor para resolver los problemas.
- Desventajas
- Los dispositivos POS necesitan visibilidad fuera de la tienda minorista.
Opción 2-Agente de WinCollect instalado en cada dispositivo POS
Esto incluye la opción de hacer que WinCollect forme parte de la "imagen base de oro". Esto permite al cliente hacer girar nuevos registros en cualquier momento y tener WinCollect configurado y listo para enviar sucesos. Esta opción requiere que el agente esté instalado en el dispositivo POS para tener visibilidad en un dispositivo QRadar en el local de la tienda minorista, o que tenga visibilidad en un procesador/recopilador de sucesos de QRadar fuera de la ubicación de minorista.
- Solución propuesta
- Agente de WinCollect por POS.
- Ventajas
- Una vez finalizado el trabajo inicial de creación de una imagen de WinCollect , poner los dispositivos POS en línea y fuera de línea formaría parte del proceso estándar.
- No es necesaria ninguna gestión para instalar agentes en cada dispositivo POS.
- Desventajas
- La recopilación de registros de POS para resolver problemas puede tardar algún tiempo.
- La actualización del agente de WinCollect a nuevas versiones requiere nuevas pruebas y actualizaciones para la imagen base.
Opción 3-Agente de WinCollect instalado en el controlador de dominio local de tienda o en el servidor
Si este servidor tiene visibilidad sobre QRadar, podría instalarse en modalidad gestionada. A continuación, los agentes podrían configurarse para sondear de forma remota cada uno de los dispositivos POS. Con 500 tiendas minoristas, el cliente podría instalar cada agente en modo gestionado, dividido entre la consola y los recopiladores/procesadores de sucesos. La gestión de la solución sería bastante difícil y requeriría mucho mantenimiento a medida que se activen y desactiven nuevos POS.
- Solución propuesta
- POS de sondeo remoto del agente de WinCollect .
- Ventajas
- Gestión de agentes desde la consola de QRadar .
- Es más fácil realizar cambios en qué sucesos se recopilan y qué datos se filtran.
- Desventajas
- El cliente sería responsable de añadir/restar dispositivos POS que el agente está sondeando de forma remota. Esto aumentaría durante los períodos de gran volumen minorista.