QRadar アプライアンスでの WinCollect アプリケーションのインストールおよびアップグレード

QRadar® ユーザー・インターフェースから WinCollect エージェントのデプロイメントを管理するには、まず WinCollect Agent SFS バンドルを使用して、 QRadar コンソールをサポートされるバージョンの WinCollect にアップグレードする必要があります。 このバンドルには、 QRadar と Windows ホスト上の管理対象 WinCollect エージェントとの間の通信を可能にするために必要なプロトコルが含まれています。 QRadar コンソールに新しいバージョンの SFS バンドルをインストールすることにより、 QRadar コンソールと管理対象 WinCollect エージェントの両方を新しいバージョンの WinCollect にアップグレードできます。

1. WinCollect Agent SFS Bundle インストール・ファイルを IBM® Web サイト ( (http://www.ibm.com/support)) からダウンロードします。
   注: インストール・プロセスにより、コンソール上のサービスが再始動されます。これにより、サービスが再始動するまで、イベント収集にギャップが生じます。 ユーザーの中断を回避するために、保守期間中に WinCollect のアップグレードをスケジュールします。
2. SSH を使用して、root ユーザーとして QRadar コンソールにログインします。
3. 初期インストールの場合、 /storetmp および /media/updates ディレクトリーが存在しなければ、それらを作成します。 以下のコマンドを入力します。

   mkdir /media/updates
   mkdir /storetmp

4. WinSCPなどのプログラムを使用して、ダウンロードした SFS ファイルを QRadar コンソール上の /storetmp にコピーします。
5. /storetmp ディレクトリーに移動するには、次のコマンドを入力します。 cd /storetmp
6. SFS ファイルをマウントするには、次のコマンドを入力します。 mount -t squashfs -o loop <Installer_file_name.sfs> /media/updates
   例: mount -t squashfs -o loop 730_QRadar_wincollectupdate-7.3.0-24.sfs /media/updates
7. WinCollect インストーラーを実行するには、以下のコマンドを入力し、プロンプトに従います。 /media/updates/installer
   注: WinCollect エージェントの更新を続行するには、 QRadar でサービスを再始動して、プロトコルの更新を適用する必要があります。 以下のメッセージが表示されます。

   WARNING: Services need to be shutdown in order to apply patches.
   This will cause an interruption to data collection and correlation.
   Do you wish to continue (Y/N)?

8. 更新を続行するには、 Y を入力します。
   更新中に、SFS は新しいプロトコル更新をインストールします。 アップグレードの進行中にセキュア・シェル (SSH) セッションが切断されたとしてたとしても、アップグレードは続行されます。 SSH セッションを再オープンしてインストーラーを再実行すると、パッチ・インストールが再開されます。 インストールが完了すると、サービスが再始動され、ユーザー・インターフェースが使用可能になります。

   注: インストール中に、以下のメッセージが表示されます。

   Patch 144249
   This patch includes a new version of the WinCollect Configuration Server.
   For this new version to run properly, the event collection service needs to be restarted.
   If you choose to not restart the service, agents cannot get new configurations and code updates until you restart it.
   
   Choices:
   1. Restart event collection service at the end of the patch installation, on the Console and on all managed hosts patched from the Console.
   2. Do not restart event collection service yet. You will need to restart it in the user interface (Advanced > Restart Event Collection Services).
   3. Abort patch.

   オプションを選択すると、パッチ・インストールが続行されます。 完了したら、Enter キーを押してパッチ画面を終了します。
9. ステップ 8 で 2 番目のオプションを選択した場合は、以下のステップを実行する必要があります。
   • QRadar 管理設定で、 「拡張」 > 「完全構成のデプロイ」をクリックします。
   • QRadar 管理設定で、 「拡張」 > 「イベント収集サービスの再始動」をクリックします。
10. コンソールから SFS ファイルをアンマウントするには、次のコマンドを入力します。 umount /media/updates
11. オプション: WinCollect エージェントがリモート更新を受け入れるように構成されていることを確認します。
    1. QRadarにログインします。
    2. ナビゲーション・メニューで、 「データ・ソース」をクリックします。
    3. WinCollect アイコンをクリックします。
    4. 「自動更新が有効」 列を確認し、値が False の WinCollect エージェントを選択します。
    5. 「自動更新の有効化/無効化」をクリックします。