ユース・ケース: 大規模なエンドポイント・デプロイメント

お客様は、自社内のすべてのエンドポイントから Windows セキュリティー・イベント・ログと Sysmon イベント・ログを、アプリケーション・サーバー、Web サーバー、およびメール・サーバーの個別のログとともに収集する必要があります。

アーキテクチャー

デバイス数
  • エンドポイント 15,000 台 (ワークステーションとラップトップ)
  • サーバー 50 台 (ドメイン・コントローラー、Web サーバー、メール・サーバー、データベース・サーバー)
QRadar のデプロイメント
コンソール 1、イベント・コレクター 10

オプション 1 - Windows Event Forwarding - 複数のイベント・コレクター

推奨ソリューション
Windows イベント転送のフル構成のデプロイメント。 WEF の完全デプロイメント
利点
  • デバイスで GPO 更新を受け取ると、それらのデバイスの起動や停止が可能になり、それらのデバイスから WEF コレクターへのイベントの送信が開始されます。
  • 管理する WinCollect エージェントが最小数で済みます。
  • WEF サブスクリプションでイベントをフィルタリングできるため、多くのイベント・ログのノイズを減らしてからデータを QRadar に送信できます。
欠点

  • IT グループは WEF サーバーをモニターして、EPS しきい値を超えていないことを確認する必要があります。

  • GPO は IT グループが構成し、維持する必要があります。

    • イベント ID の追加/除去はサブスクリプションによって行われます。

オプション 2 - WEF と管理対象 WinCollect を混在させる

推奨ソリューション
Windows イベント転送の管理対象デプロイメント。 管理対象 WEF デプロイメント
利点
  • POS デバイスで GPO 更新を受け取ると、それらのデバイスの起動や停止が可能になり、それらのデバイスから WEF コレクターへのイベントの送信が開始されます。 いったん GPO を構成すると、店舗の POS デバイスの管理は不要になります。
  • 管理する WinCollect エージェントが最小数で済みます。
  • WEF サブスクリプションでイベントをフィルタリングできるため、多くのイベント・ログのノイズを減らしてからデータを QRadar に送信できます。
  • EPS が高いサーバーは WinCollect エージェントによって処理され、WEF コレクターの負荷が軽減されます。
  • 構成とコードの更新は QRadar コンソールからデプロイできます。
欠点

  • GPO は IT グループが構成し、維持する必要があります (エンドポイントでは、この作業は最小限になるはずです)。

    • イベント ID の追加/除去はサブスクリプションによって行われます。

オプション 3 -スタンドアロン・デプロイメント

推奨ソリューション
スタンドアロン・デプロイメント。 スタンドアロン・デプロイメント
利点
  • エージェントのインストールは BigFix または Microsoft SCCM ツールによって制御できます。
  • 各エンドポイント上でのローカル収集には EPS レートは関係しません。
  • アップグレードの問題は、エージェントを再インストールすることで解決できます。
欠点
  • インストールを管理するために BigFix や SCCM グループに依存する必要があります。
  • 通常、WinCollect の構成に対する変更の処理速度は遅くなります。
  • 問題のトラブルシューティングのためにエンドポイントからログを収集する際に時間がかかる場合があります。
  • WinCollect エージェントを新規バージョンに更新する際に、新たなテストやマスター・イメージの更新が必要になります。
  • QRadar ではエージェントが制御されません。

オプション 4 - リモート・ポーリングのデプロイメント

エージェント当たりのリモート・ポーリングの最大数は 500 です。すなわち 30 のエージェントがそれぞれ 500 のエンドポイントから収集することで、15,000 のエンドポイントから収集します。

最大値に達するのを避けるため、ネットワークの強度と信頼性に応じて、エージェントごとに 500 のリモート・ポーリングから始めます。 リモート・ポーリングされた各サーバーからエージェントへの応答時間が早い場合、サーバーごとにさらに多くのエンドポイントをリモート・ポーリングできます。 リモート・ポーリングのデプロイメントの場合でも、高重要度サーバーではローカル収集を行います。
  • QRadar の管理対象
  • 30 のエージェントが 15,000 のエンドポイントにリモート・ポーリング
  • 50 のエージェントがローカル収集
推奨ソリューション
リモート・ポーリング・デプロイメント。 リモート・ポーリングのデプロイメント
利点
  • 管理対象のエージェントが少なくなります。
  • エンドポイントを QRadar の一括管理を利用して追加/除去できます。
欠点
  • サーバーがオフになったり、応答しない場合でも、エージェントはポーリングを続けます。
  • エージェント・サーバーからエンドポイントに到達できるように、すべてのエンドポイントに適切な権限とファイアウォール・ルールを適用する必要があります。