QRadar でデフォルトの証明書を置き換えると、無効な PEM エラーが生成される

QRadar のデフォルトの証明書を置き換えると、ConfigurationServer.PEM ファイルが変更され、デプロイメント内のすべての WinCollect エージェントに影響が及びます。 この問題を修正するには、Windows ホスト上の ConfigurationServer.PEM ファイルを置き換える必要があります。

このタスクについて

WinCollect エージェントは、更新された QRadar® アプライアンスと通信しようとしたときに誤った証明書が渡されるため、拒否メッセージを受け取ります。 以下のエラー・メッセージがログに出力されます。
May 17 17:06:31 ::ffff:IP ADDRESS [ecs-ec] [WinCollectConfigHandler_4] 
com.q1labs.sem.semsources. wincollectconfigserver.WinCollectConfigHandler: [ERROR] 
[NOT:0000003000] [192.0.2.0/- -] [-/- -]Agent with ip: IP ADDRESS tried to connect 
with an invalid PEM
通信しようとしているエージェントの IP アドレスが表示されます。 WinCollect エージェントからは、証明書が無効であることが原因で通信に問題が発生したことを管理者に通知する LEEF Syslog メッセージも送信されます。 この問題を修正するには、Windows ホスト上の ConfigurationServer.PEM file を置き換える必要があります。
注: このアクションは、Windows 管理者、またはリモート Windows ホストからファイルを削除する特権を持つユーザーが実行する必要があります。

手順

  1. 通信できない WinCollect エージェントへのリモート・デスクトップ接続を開きます。
  2. 「開始」 > 「実行」をクリックします。
  3. services.mscと入力して、 「OK」をクリックします。
  4. WinCollect サービスを停止します。
  5. Windows ホストで、 WinCollect 構成フォルダーにナビゲートします。
    デフォルトのフォルダー・パスは C:\ProgramFiles\IBM\WinCollect\config です。
  6. 「削除」 ConfigurationServer.PEM。
  7. 「サービス」 ウィンドウから、 WinCollect サービスを開始します。

結果

WinCollect サービスが再始動すると、エージェントは、Windows ホストを管理する QRadar アプライアンスに接続しようとします。 QRadar アプライアンスは、欠落している ConfigurationServer.PEM ファイルを検出し、既存の証明書に対して置き換えを発行します。 この操作により、更新済みの証明書を含む新しい ConfigurationServer.PEM ファイルに、以前のファイルが置き換えられます。