Installation et mise à niveau de l'application WinCollect sur des dispositifs QRadar

Pour gérer un déploiement d'agents WinCollect à partir de l'interface utilisateur QRadar® , vous devez d'abord mettre à niveau votre console QRadar vers une version prise en charge de WinCollect à l'aide du bundle SFS de l'agent WinCollect . Ce bundle inclut les protocoles requis pour activer la communication entre QRadar et les agents WinCollect gérés sur les hôtes Windows. Les agents QRadar Console et WinCollect gérés peuvent être mis à niveau vers des versions plus récentes de WinCollect en installant la version plus récente du bundle SFS sur la console QRadar .

1. Téléchargez le fichier d'installation de bundle SFS de l'agent WinCollect à partir du site Web IBM® : (http://www.ibm.com/support).
   Remarque: Le processus d'installation redémarre les services sur la console, ce qui crée un écart dans la collecte d'événements jusqu'au redémarrage des services. Planifiez la mise à niveau WinCollect pendant une fenêtre de maintenance afin d'éviter d'interrompre les utilisateurs.
2. Utilisez SSH pour vous connecter à la console QRadar en tant que superutilisateur.
3. Pour les installations initiales, créez les répertoires /storetmp et /media/updates s'ils n'existent pas. Entrez les commandes suivantes :

   mkdir /media/updates
   mkdir /storetmp

4. A l'aide d'un programme tel que WinSCP, copiez le fichier SFS téléchargé dans /storetmp sur votre console QRadar .
5. Pour accéder au répertoire /storetmp , entrez la commande suivante: cd /storetmp
6. Pour monter le fichier SFS, entrez la commande suivante: mount -t squashfs -o loop <Installer_file_name.sfs> /media/updates
   Exemple: mount -t squashfs -o loop 730_QRadar_wincollectupdate-7.3.0-24.sfs /media/updates
7. Pour exécuter le programme d'installation WinCollect , entrez la commande suivante, puis suivez les invites: /media/updates/installer
   Remarque: Pour procéder à la mise à jour de l'agent WinCollect , vous devez redémarrer les services sur QRadar pour appliquer les mises à jour de protocole. Le message suivant s'affiche :

   WARNING: Services need to be shutdown in order to apply patches.
   This will cause an interruption to data collection and correlation.
   Do you wish to continue (Y/N)?

8. Entrez Y pour poursuivre la mise à jour.
   Lors de la mise à jour, le serveur SFS installe de nouvelles mises à jour de protocole. Si votre session SSH (Secure Shell) est déconnectée alors que la mise à niveau est en cours, la mise à niveau se poursuit. Lorsque vous rouvrez votre session SSH et réexécutez le programme d'installation, l'installation du correctif reprend. Une fois l'installation terminée, les services sont redémarrés et l'interface utilisateur est disponible.

   Remarque: Lors de l'installation, le message suivant s'affiche:

   Patch 144249
   This patch includes a new version of the WinCollect Configuration Server.
   For this new version to run properly, the event collection service needs to be restarted.
   If you choose to not restart the service, agents cannot get new configurations and code updates until you restart it.
   
   Choices:
   1. Restart event collection service at the end of the patch installation, on the Console and on all managed hosts patched from the Console.
   2. Do not restart event collection service yet. You will need to restart it in the user interface (Advanced > Restart Event Collection Services).
   3. Abort patch.

   Une fois que vous avez choisi une option, l'installation du correctif se poursuit. Une fois l'opération terminée, appuyez sur la touche Entrée pour quitter l'écran de correction.
9. Si vous avez sélectionné la deuxième option à l'étape 8, vous devez effectuer les étapes suivantes:
   • Dans les paramètres d'administration QRadar , cliquez sur Avancé > Déployer la configuration complète.
   • Dans les paramètres d'administration QRadar , cliquez sur Avancé > Redémarrer les services de collecte d'événements.
10. Pour démonter le fichier SFS à partir de la console, entrez la commande suivante: umount /media/updates
11. Facultatif: Vérifiez que les agents WinCollect sont configurés pour accepter les mises à jour à distance:
    1. Connectez-vous à QRadar.
    2. Dans le menu de navigation, cliquez sur Sources de données.
    3. Cliquez sur l'icône WinCollect .
    4. Consultez la colonne Mises à jour automatiques activées et sélectionnez les agents WinCollect dont la valeur est False.
    5. Cliquez sur Activer / Désactiver les mises à jour automatiques.