User Entity Behavior Analytics アプリケーションのインストール

IBM® QRadar® 拡張の管理ツールを使用して、アプリケーション・アーカイブを QRadar Consoleに直接アップロードしてインストールします。

始める前に

User Entity Behavior Analyticsアプリをインストールするための前提条件を完了します。

アプリをインストールする前に、IBM QRadar が最小メモリー (RAM) 要件を満たしていることを確認してください。 UEBA アプリケーションは、メモリーのアプリケーション・プールから 1 GB の空きメモリーを必要とします。 アプリケーション・プールに十分な空きメモリーがない場合、 UEBA アプリケーションはインストールに失敗します。

UEBA のインストールに失敗した場合、アプリケーション・プールには、 IBM QRadar UEBA アプリケーションを実行するための十分な空きメモリーがありません。 QRadar デプロイメントにアプリケーション・ホストを追加することを検討してください。 Machine Learningを使用する UEBA のサイズのため、少なくとも中規模デプロイメント環境をインストールするか、それにアップグレードする必要があります。

QRadar は、アプリケーションの実行専用の管理対象ホストであるアプリケーション・ホストを使用します。 アプリケーション・ホストは、QRadar コンソールの処理能力に影響を与えることなく、追加のストレージ、メモリー、および CPU リソースをアプリケーションに提供します。 詳しくは、 アプリケーション・ホストを参照してください。

重要:
  • コンソール、イベント・プロセッサ、データ・ノードで、ルール関連または検索関連のパフォーマンスに問題がある場合は、 UEBA をインストールする前に問題を解決してください。 UEBA をインストールすると、ルール処理と検索負荷が追加される可能性があります。
  • QRadar 資産を調整する。 詳細については、 エンティティ資産のチューニングを参照してください

このタスクについて

オフェンスのトリガーのルールを含む UBA 固有のコンテンツ・パッケージは、別個の拡張機能としてインストールされるようになりました。 コンテンツ・パッケージはデフォルトでインストールされます。 UEBAでオフェンスをトリガーする独自のカスタム・ルールを作成することを選択した場合は、 UEBA 設定の構成時に 「コンテンツ・パッケージのインストールおよびアップグレード (Install and upgrade content packages)」 設定を変更できます。
重要: アプリケーションをインストールした後、以下を行う必要があります。
  • 索引を有効化します。
  • すべての構成をデプロイします。
  • ブラウザーのキャッシュをクリアし、ブラウザー・ウィンドウを最新表示します。
  • ユーザー エンティティ分析] タブを表示するためのアクセス権をユーザーに設定します。 このアプリへのアクセス権限が必要な各ユーザー・ロールに対して、以下の権限を割り当てる必要があります。
    • ユーザー・エンティティ分析
    • オフェンス
    • ログ・アクティビティー
  • チューニング 』の手順を完了させる。
  • UEBA共通課題の手続きを完了する。

手順

  1. 以下のいずれかの方法を選択して、アプリケーションをダウンロードします。
    • IBM QRadar Hub アプリが QRadar に設定されている場合は、以下の手順でユーザー行動分析機能をインストールしてください： IBM QRadar Hub ( https://www.ibm.com/support/knowledgecenter/SS42VS_SHR/com.ibm.apps.doc/t_qradar_adm_assistant_download.html ).
    • IBM QRadar Hub アプリが構成されていない場合は、 IBM Security App Exchange ( https://apps.xforce.ibmcloud.com/ ) から User Behavior Analytics アプリのアーカイブをローカル コンピュータにダウンロードします。 App Exchange にアクセスするには、IBM ID が必要です。
  2. App Exchange からアプリケーションをダウンロードした場合は、以下のステップを実行します。
    1. QRadar Consoleで、 Admin > Extensions Managementをクリックします。
    2. 「拡張の管理」 ウィンドウで、 「追加」 をクリックし、コンソールにアップロードする UBA アプリ・アーカイブを選択します。
    3. 「即時インストール」 チェック・ボックスを選択します。
      重要: アプリがアクティブになるまで数分待つ必要がある場合があります。
    4. アプリケーションを追加してからインストールするまでの間に、そのアプリケーションのコンテンツをプレビューするには、拡張のリストからそのアプリケーションを選択し、 「詳細」をクリックします。 各グループの個々のコンテンツ項目を表示するには、フォルダーを展開します。
    アプリケーションが正常にインストールされると、 「管理」 タブの 「拡張の管理」 ページに「インストール済み」としてリストされます。 アプリが正しくインストールされなかった場合は、 QRadar アプリのトラブルシューティングをご覧ください。
  3. 管理者設定から、 システム構成 > インデックス管理をクリックし、以下のインデックスを有効にします：
    • 上位カテゴリー
    • 下位カテゴリー
    • ユーザー名
    • senseValue
  4. 管理者設定から、 ［Advanced（詳細） ］＞［ Deploy Full Configuration（完全構成の展開） ］をクリックします。
    注: コンテンツ・パッケージは、 UEBA のインストールが完了し、 UEBA が構成された後にインストールされます。 詳細は UEBAコンテンツパックの概要を参照。

次に実行するタスク

  • インストールが完了したら、アプリケーションを使用する前に、ブラウザー・キャッシュをクリアし、ブラウザー・ウィンドウを最新表示します。
  • UEBA アプリケーション・ユーザー役割の権限を管理します。