QRadar と通信するための SysFlow エージェントの構成

イベントを IBM QRadarに転送するには、 OpenShift® または Kubernetes クラスターを使用して SysFlow コレクターをインストールする必要があります。

このタスクについて

SysFlow インストールでは、 OpenShift または Kubernetes オペレーターを使用します。 Operator は、カスタム・リソースを使用して、SysFlow エージェントとその関連コンポーネントを管理します。 ここでのインストールでは、Operator ポッドをデプロイした上で、カスタム・リソースを適用します。 カスタム・リソースが作成されると、Operator が、クラスター内のすべてのワーカー・ノードに SysFlow エージェント・ポッドをデプロイします。 インストール・プロセス中に、 OpenShift または Kubernetes クラスターがインターネットからコンテナー・イメージをダウンロードします。

1. SSH を使用して、 OpenShift または Kubernetes クラスターのマスター・ノードに管理者としてログインします。
2. SysFlow のインストール・パッケージをダウンロードし、ファイルを解凍します。
3. 解凍したインストール・パッケージのルート・フォルダー sf-operator に移動し、 /scripts/run ディレクトリーに移動します。
4. スクリプトを実行するには、次のコマンドを入力します。

   cd scripts/run/

5. Operator をデプロイするには、次のコマンドを入力します。

   ./deployOperator.sh

6. SysFlow エージェントをデプロイするには、次のコマンドを入力します。

   ./applyCR.sh <QRadar_Console_IP_address > 514 tcp

次に実行するタスク

QRadar でログ・ソースが自動的に検出されなかった場合は、 QRadar Consoleで SysFlow ログ・ソースを追加 します。