Instalación y actualización de la aplicación WinCollect en dispositivos QRadar

Para gestionar un despliegue de agentes de WinCollect desde la interfaz de usuario de QRadar® , primero debe actualizar la consola de QRadar a una versión soportada de WinCollect utilizando el paquete SFS de agente de WinCollect . Este paquete incluye los protocolos necesarios para habilitar la comunicación entre QRadar y los agentes de WinCollect gestionados en los hosts de Windows. Tanto la consola de QRadar como los agentes gestionados de WinCollect se pueden actualizar a versiones más recientes de WinCollect instalando la versión más reciente del paquete SFS en la consola de QRadar .

1. Descargue el archivo de instalación del paquete SFS del agente WinCollect desde el sitio web de IBM® : (http://www.ibm.com/support).
   Nota: El proceso de instalación reinicia los servicios en la consola, lo que crea un hueco en la recopilación de sucesos hasta que se reinician los servicios. Planifique la actualización de WinCollect durante una ventana de mantenimiento para evitar interrumpir a los usuarios.
2. Utilice SSH para iniciar sesión en la consola de QRadar como usuario root.
3. Para las instalaciones iniciales, cree los directorios /storetmp y /media/updates si no existen. Escriba los mandatos siguientes:

   mkdir /media/updates
   mkdir /storetmp

4. Utilizando un programa como WinSCP, copie el archivo SFS descargado en /storetmp en la consola de QRadar .
5. Para cambiar al directorio /storetmp , escriba el mandato siguiente: cd /storetmp
6. Para montar el archivo SFS, escriba el mandato siguiente: mount -t squashfs -o loop <Installer_file_name.sfs> /media/updates
   Ejemplo: mount -t squashfs -o loop 730_QRadar_wincollectupdate-7.3.0-24.sfs /media/updates
7. Para ejecutar el instalador de WinCollect , escriba el mandato siguiente y, a continuación, siga las indicaciones: /media/updates/installer
   Nota: Para continuar con la actualización del agente de WinCollect , debe reiniciar los servicios en QRadar para aplicar las actualizaciones de protocolo. Se muestra el mensaje siguiente:

   WARNING: Services need to be shutdown in order to apply patches.
   This will cause an interruption to data collection and correlation.
   Do you wish to continue (Y/N)?

8. Escriba Y para continuar con la actualización.
   Durante la actualización, el SFS instala nuevas actualizaciones de protocolo. Si la sesión SSH (Secure Shell) está desconectada mientras la actualización está en curso, la actualización continúa. Cuando vuelva a abrir la sesión SSH y vuelva a ejecutar el instalador, se reanudará la instalación del parche. Una vez finalizada la instalación, los servicios se reinician y la interfaz de usuario está disponible.

   Nota: Durante la instalación, se muestra el siguiente mensaje:

   Patch 144249
   This patch includes a new version of the WinCollect Configuration Server.
   For this new version to run properly, the event collection service needs to be restarted.
   If you choose to not restart the service, agents cannot get new configurations and code updates until you restart it.
   
   Choices:
   1. Restart event collection service at the end of the patch installation, on the Console and on all managed hosts patched from the Console.
   2. Do not restart event collection service yet. You will need to restart it in the user interface (Advanced > Restart Event Collection Services).
   3. Abort patch.

   Después de elegir una opción, la instalación del parche continúa. Cuando se haya completado, pulse la tecla Intro para salir de la pantalla de parche.
9. Si ha seleccionado la segunda opción en el paso 8, debe realizar los pasos siguientes:
   • En los valores de administración de QRadar , pulse Avanzado > Desplegar configuración completa.
   • En los valores de administración de QRadar , pulse Avanzado > Reiniciar servicios de recopilación de sucesos.
10. Para desmontar el archivo SFS de la consola, escriba el mandato siguiente: umount /media/updates
11. Opcional: Verifique que los agentes de WinCollect estén configurados para aceptar actualizaciones remotas:
    1. Inicie sesión en QRadar.
    2. En el menú de navegación, pulse Orígenes de datos.
    3. Pulse el icono WinCollect .
    4. Revise la columna Actualizaciones automáticas habilitadas y seleccione WinCollect agentes que tengan un valor False.
    5. Pulse Habilitar/inhabilitar actualizaciones automáticas.