Installations QRadar Network Insights sur Amazon Web Services

Condition requise	Valeur
Processeur	8 cœurs (minimum) Conseil : pour connaître le nombre de cœurs inclus dans chaque type d'instance, dans la fenêtre AWS Lancer une instance, cliquez sur Comparer les types d'instance. Cliquez sur l'icône en forme de roue dentée) pour inclure la colonne Cores dans le tableau.
Mémoire	64 Go (minimum)
Stockage	QRadar Network Insights nécessite deux volumes SSD à usage général d' EBS s : 1 x 122 GiB (système d'exploitation et logiciels) 1 x 250 GiB (données) Le volume de 122 GiB pour le système d'exploitation et le logiciel est configuré automatiquement par le QRadar .ami Vous devez configurer manuellement le volume supplémentaire de 250 GiB pour les données. Avertissement : Il n'est pas possible d'augmenter la capacité de stockage après l'installation.
Utilisation du réseau	QRadar Network Insights nécessite au moins deux interfaces NIC : Une interface de gestion Une interface de surveillance Pour les types d'instance optimisés pour le calcul, vous pouvez ajouter plus d'interfaces de surveillance. L'unité de transmission maximale pour l'interface de surveillance doit avoir pour valeur 9001.
Groupes de sécurité	L'interface de gestion doit avoir un groupe de sécurité assigné qui inclut des règles autorisant les connexions SSH, NetFlow, et de messagerie entre l'hôte QRadar Network Insights et le QRadar Console et tout collecteur de flux ou processeur qui pourrait être installé. L'interface de surveillance doit disposer d'un groupe de sécurité attribué qui autorise le trafic VXLAN (port UDP e 4789) provenant de la source miroir. Le niveau VPC ( Network ACL ) doit également autoriser le trafic VXLAN.

Pour connaître la configuration requise pour d'autres IBM QRadar appliances virtuelles, voir Configuration requise pour les appliances virtuelles dans le IBM QRadar Guide d'installation.

Pour plus d'informations sur la mise en miroir du trafic AWS et sa configuration, voir Qu'est-ce que la mise en miroir du trafic ? dans le portail de documentation d'Amazon Web Services

Connexion impossible à l'hôte géré en raison d'un fichier de clé privée non protégé

L'avertissement suivant est émis lorsque vous tentez de vous connecter à un hôte géré à l'aide d'un fichier de clé privé :

WARNING: UNPROTECTED PRIVATE KEY FILE!

Vous pouvez recevoir ce message lorsque le fichier de clés .pem est accessible au public. Pour résoudre ce problème, remplacez les droits d'accès par 600 dans votre fichier de clés .pem en entrant la commande suivante :

chmod 600 <key_file>

Connexion refusée lors de la tentative de connexion à l'hôte QRadar Network Insights

Lorsque vous essayez de vous connecter à votre hôte déconnecté QRadar Network Insights en utilisant une clé privée, vous recevez ce message :

Connection Refused

Le profil de sécurité attaché à l'instance d'hôte géré QRadar Network Insights n'autorise pas les connexions SSH entrantes à partir de l'adresse IP source.

Pour résoudre ce problème, ajoutez une règle de réception au profil de sécurité attaché à l'instance QRadar Network Insights Configurez la règle pour autoriser les connexions SSH depuis l'adresse IP source.

Pour plus d'informations, voir Profils de sécurité sur le portail de documentation AWS.

Aucune adresse IP publique n'est attribuée à l'instance QRadar Network Insights

Ce problème peut survenir dans les conditions suivantes :

• L'instance n'a pas été configurée en vue d'une affectation automatique d'une adresse IP publique lors de son lancement.
• Plusieurs interfaces réseau sont associées à l'instance et celle-ci a été redémarrée.

Pour résoudre le problème, associez une IP Elastic à l'interface de gestion. Vous pouvez également utiliser SSH à partir de l'instance QRadar Console ou d'une autre instance sur le même sous-réseau pour vous connecter à l'adresse IP privée de l'instance QRadar Network Insights.

QRadar Network Insights ne détecte pas la carte réseau supplémentaire

Vous avez ajouté une carte d'interface réseau (NIC) supplémentaire à l'instance QRadar Network Insights, mais elle n'est pas reconnue. Une configuration supplémentaire est nécessaire pour que le système d'exploitation de l'instance QRadar Network Insights reconnaisse la nouvelle interface réseau.

Pour plus d'informations, voir Ajout d'une autre interface de surveillance du trafic à l'instance QRadar Network Insights.

Impossible de se connecter à l'hôte QRadar Network Insights géré à l'aide de SSH depuis la QRadar console

Lorsqu'un hôte QRadar Network Insights est géré par une console, les règles iptables sont mises à jour pour restreindre l'accès SSH direct. Vous devez vous connecter à l'hôte géré en vous connectant d'abord à la QRadar Console. Les instances AWS n'ayant pas d'option de connexion à la console, il n'y a aucun moyen de se connecter à l'hôte géré si l'utilisateur QRadar Console ne peut pas utiliser SSH pour se connecter.

Pour résoudre ce problème, utilisez SSH pour vous connecter à la QRadar Console. Ensuite, utilisez SSH depuis le QRadar Console vers l'interface de gestion des hôtes géréseth0 en tant qu'utilisateur root.

Si l'instance QRadar Console ne peut pas se connecter à l'hôte géré, vous devez recréer l'instance QRadar Network Insights

Pour éviter de vous exclure de QRadar, configurez le pare-feu de l'hôte géré pour autoriser les connexions SSH à partir de sources fiables. Pour plus d'informations, voir la note techniqueManaging IPtables firewall ports sur le site web IBM Support.

Le trafic surveillé n'apparaît pas dans l'onglet Activité réseau

Le trafic surveillé n'apparaît pas dans l'onglet Activité réseau mais la commande tcpdump indique que l'interface de surveillance le reçoit.

Lorsque vous ajoutez un hôte QRadar Network Insights, une source de flux est créée, mais elle est désactivée par défaut.

Pour résoudre ce problème, vérifiez que la source de flux pour l'interface réseau existe à la fois pour l'appliance QRadar Network Insights et pour l'instance de surveillance. Assurez-vous qu'aucun changement ne doit être déployé. Si la source de flux n'existe pas, créez-la et activez-la.

Pour plus d'informations, voir Ajouter une source de flux et Activer une source de flux.

Le trafic en miroir n'est pas reçu par plusieurs cibles miroir

La mise en miroir du trafic ne peut envoyer des paquets individuels qu'à une seule interface cible. Pour répartir le trafic entre plusieurs cibles, vous devez configurer plusieurs sessions de mise en miroir. Les filtres de miroir pour chaque session doivent être assez spécifiques pour garantir que le trafic est mis en miroir dans une seule interface cible.

Pour voir un exemple de répartition du trafic entre plusieurs cibles, consultez l'exemple « Mise en miroir du trafic entrant TCP et UDP vers deux appliances différentes » sur le portail de documentation AWS.

L'interface de surveillance QRadar Network Insights ne reçoit pas de trafic en miroir

Par défaut, AWS active le filtrage en fonction de vérifications de source et de destination dans les interfaces réseau.

La désactivation des vérifications de source et de destination permet à une instance de traiter le trafic réseau qui ne lui est pas destiné. Par exemple, des instances qui exécutent des services tels que la conversion d'adresses réseau, le routage ou un pare-feu doivent désactiver les attributs de vérification de source et de destination.

Pour désactiver les attributs de vérification de source et de destination, procédez comme suit :

1. Dans le panneau de navigation de gauche du tableau de bord AWS, cliquez sur Network interfaces.
2. Cliquez avec le bouton droit de la souris sur l'instance, puis cliquez sur Change Source/Dest Check.
3. Cliquez sur Désactivé et cliquez sur Modifier.
4. Répétez ces étapes pour chaque interface réseau.

Pour plus d'informations, consultez la page Elastic Network interfacehttps://docs.aws.amazon.com/AWSEC2/latest/UserGuide/using-eni.html) sur le portail de documentation AWS.

Le trafic en miroir est incomplet

Les types de trafic suivants ne peuvent pas être mis en miroir :

• ARP (Address Resolution Protocol)
• protocole DHCP
• Service de métadonnées d'instance
• protocole temps réseau
• Activation de Windows

Pour plus d'informations, voir les pages suivantes sur le portail de documentation AWS.

• What is Traffic Mirroring? (https://docs.aws.amazon.com/vpc/latest/mirroring/what-is-traffic-mirroring.html)

• Traffic Mirroring quotas and considerations (https://docs.aws.amazon.com/vpc/latest/mirroring/traffic-mirroring-considerations.html)

QRadar Network Insights L'instance échoue au contrôle d'état du système d' AWS

Les trames Jumbo peuvent parfois provoquer le redémarrage de l'instance QRadar Network Insights, ce qui entraîne un échec de la vérification de l'état du système AWS.

Pour résoudre ce problème, associez l'unité de transmission maximale pour l'interface de surveillance à la valeur 9001.

• Pour changer l'unité de transmission maximale temporairement, entrez la commande suivante :

  sudo ip link set dev eth<#> mtu 9001 

• Pour définir le MTU de façon permanente, éditez le script /etc/sysconfig/network-scripts/ifcfg-eth<#> pour l'interface, et éditez la ligne MTU en MTU=9001

Pour plus d'informations, voir Network maximum transmission unit (MTU) for your EC2 instancehttps://docs.aws.amazon.com/AWSEC2/latest/UserGuide/network_mtu.html sur le portail de documentation AWS.