マルチテナント UEBA

User Entity Behavior Analytics (UEBA) アプリは、 QRadar®でマルチテナント環境をサポートします。複数のデプロイメントを管理する代わりに、単一のデプロイメントから複数のテナントを作成できます。

マルチテナント環境では、マネージド・セキュリティー・サービス・プロバイダー (MSSP) と複数の部門の組織が、単一の共有IBM® QRadar デプロイメントから複数のクライアント組織にセキュリティー・サービスを提供できます。お客様ごとに固有の QRadar インスタンスをデプロイする必要はありません。

複数のデプロイメントを管理する代わりに、単一のデプロイメントから複数のテナントを作成できます。例えば、MSSP パートナーとして、 QRadar の単一インスタンスで 20 個のクライアントをホストし、各クライアントが約 1000 人の従業員を管理するようにすることができます。

重要: QRadar に MT サイト管理者としてログインすると、デフォルトで 2 つのテナントが表示されます。そのうちの 1 つは管理テナントです。 IBM QRadar Hub アプリを使用して、デフォルトで表示される他のテナントを変更します。

概要

UEBA のマルチテナンシーでは、 QRadar 管理者または MSSP 管理者 (QRadar 管理者) が、 QRadarのサポート対象バージョンでの特定の構成タスクを含むいくつかのセットアップ手順を実行する必要があります。 QRadar 管理者は、 IBM QRadar Hub アプリ 3.0 以降を使用して、最初の UEBA インスタンスまたは「admin」インスタンスと、追加の非管理インスタンスまたはテナント・インスタンスをインストールして構成する必要があります。非管理者インスタンスが確立された後、 QRadar 管理者はユーザー・ロールと特定の権限も割り当てる必要があります。非管理者インスタンスのユーザー役割には、「UEBA テナント管理者」ユーザーと「UEBA テナント」ユーザーが含まれます。

デプロイメントのガイダンス

サポートされる UEBA インスタンスの数は、 QRadar 環境に直接関連しています。通常、テナントは一度に 1 つずつ追加する必要があります。追加するたびに、 QRadar が正常であること、および残りのアプリケーションも期待どおりに実行されていることを確認する必要があります。

QRadar システム・パフォーマンスは、ユーザー数と 1 秒当たりのイベント数 (EPS) が異なる 3 つの異なる環境で確認されました。各環境には、128 GB RAM と 56 コアの QRadar Console 、128 GB RAM と 56 コアのイベント・プロセッサー、372 GB RAM と 72 コアのアプリケーション・ホストが含まれていました。

最初のシステムでは、EPS が 800 の各インスタンスで UEBA の 30 個のインスタンス (5000 ユーザー) が正常に実行されました。
2 番目のシステムは、 UEBA の 8 つのインスタンスを正常に実行しました。各インスタンスのユーザー数は 40000 で、EPS は 1500 です。
3 番目のシステムでは、 UEBA の 6 つのインスタンスが正常に実行され、各インスタンスのユーザー数は 100000、EPS は 2500 になりました。

これらのガイドラインにより、 QRadar システムおよび UEBAが正しく機能するようになります。 QRadar 環境内でエラーが発生した場合は、RAM を増やすか、イベント・プロセッサーを追加することを検討してください。

QRadar 管理者または MSSP 管理者の役割

重要: QRadar 管理者は、 UEBAの最初のインスタンスまたは「管理者」インスタンスをセットアップする必要があります。 UEBA の管理インスタンスが管理トークンを使用して確立されると、追加の UEBA インスタンスを作成できます。 UEBAの複数インスタンスを実行する場合、管理インスタンスは Machine Learning (ML app) をアップグレードしてコンテンツをインストールするためにのみ使用されますが、データを処理したり、その他の機能を実行したりすることはありません。管理インスタンスは削除しないでください。

セキュリティー・プロファイル

UEBA は、1 つのセキュリティー・プロファイルの下で複数のドメインをサポートしません。 1 つのセキュリティー・プロファイルに割り当てることができるドメインは 1 つのみです。これは、 UEBA が予期したとおりに機能するためです。

ダッシュボード

ダッシュボードでは、 QRadar 管理者のみが、 UEBA テナント管理者ユーザーと UEBA テナント・ユーザーのルールのインストール状況を確認できます。 UEBA テナント管理者ユーザーと UEBA テナント・ユーザーには、ダッシュボードにルールの緑色の状況が常に表示されます。

Machine Learning (ML app) がインストールされている場合、ダッシュボード上の Machine Learning の状況は常に緑色で表示されます。 ML app がインストールされていない場合、表示される状況は常にグレーです。

QRadar Advisor with Watson との統合

QRadar Advisor with Watson「UEBAマルチテナント環境に統合したい場合は、「QRadar Advisor with Watsonバージョン2.5.2以降をインストールしてください。

「リファレンス・データのインポート - LDAP」アプリケーション

マルチテナント環境では LDAP アプリケーションを使用しないでください。LDAP アプリケーションはマルチドメインにもマルチテナントにも対応していないため、すべてのユーザーにすべてのインポートが表示されてしまうからです。

UEBA の単一インスタンスから複数インスタンスへの移動

マルチテナンシーを最大限に活用するには、 UEBAのフレッシュ・インストールを開始することをお勧めします。

UEBA の単一インスタンスからマルチテナント・セットアップに移行する場合は、既存の UEBA インスタンスを引き続き使用することも、マルチテナンシーを実行することもできません。 QRadarに UEBA の 2 番目のインスタンスが表示されるとすぐに、アップグレードされた UEBA インスタンスは限定機能インスタンスに変更されます。データは削除されませんが、更新はされなくなります。また、追加インスタンスをインストールする前に、 ML app をアンインストールする必要があります。

重要: 管理者インスタンスや共有インスタンスをアンインストールしないでください。

アップグレード

マルチテナント・セットアップで UEBA をアップグレードするには、管理者インスタンスにアップグレードを適用する必要があります。すべてのテナント・インスタンスが一緒にアップグレードされます。

警告

マルチテナント環境を指定どおりにセットアップする必要があります。そうしないと、 UEBA および Machine Learningで問題が発生する可能性があります。以下の警告を考慮に入れてください。

管理インスタンスまたは共有インスタンスをアンインストールしないでください。
QRadar のリファレンス・セットに対するすべての編集がドメイン固有であることを確認してください。そうしないと、ユーザーが意図しないテナント・インスタンスに表示される可能性があります。
UEBAの管理インスタンスに Machine Learning (ML app) をインストールしないでください。
UEBA の管理インスタンスは、ルールの更新と、他の (非管理) インスタンスへの Machine Learning 更新の通知のみを担当します。
UEBA の管理インスタンスはユーザー・データを取り込みません。
各インスタンスは単一のテナントのみを持つことができ、各テナントは単一のドメインのみを持つことができます。
テナントに管理者許可サービス・トークンを提供することはできません。
QRadar 管理者は、信頼できるユーザーのリストにユーザーを追加したり、ユーザーを削除したりしてはなりません。これは、信頼できるユーザーを追加したり、すべてのテナント・インスタンスのユーザーを削除したりするためです。