Microsoft Azure への QRadar Network Insights のインストール

Microsoft Azure ネットワーク・トラフィックを IBM QRadar Network Insights に送信して、コンテンツの検査とモニターを行うことができます。
QRadar Network Insights を Microsoft Azureにデプロイするには、以下の手順に従います。
  1. 最小システム要件を確認します。

    インストールする予定のインスタンスが、達成したいフロー検査レベルをサポートできることを確認します。

  2. Microsoft Azure Marketplace で IBM QRadar SIEM イメージを使用して、 QRadar コンポーネントをインストールします。

    QRadar Console および QRadar Network Insights 管理対象ホストをインストールする必要があります。 その他の管理対象ホスト (フロー・プロセッサーなど) はオプションです。 QRadar コンポーネントを Microsoft Azure にインストールする方法については 、「 7.5.0 仮想アプライアンスの Microsoft Azure 上での設定」 を参照してください。

  3. QRadar Network Insights 管理対象ホストを QRadar Consoleに追加します。
  4. フロー・ソースを構成します。
  5. トラフィック・ミラーリング・セッションを構成します。
  6. デプロイメントがフロー・データを受信していることを確認します。

デプロイメントのアーキテクチャー

次の図は、2 つの QRadar Network Insights ミラー・ターゲットを含むデプロイメント内のトラフィック・フローを示しています。 一方の QRadar Network Insights インスタンスは Flow Processorのフロー・ソースとして使用され、他方のインスタンスはネットワーク・トラフィックを QRadar Consoleに直接送信します。
図1： QRadar Network Insights デプロイメントの例
1 つのフロー・プロセッサーと 2 つの QRadar Network Insights ホストが接続された QRadar コンソールがあるデプロイメント内のミラーリングされたトラフィック・フローを示す図。

Microsoft Azure QRadar Network Insightsのシステム要件

インストールの準備として、仮想アプライアンスが最小システム要件を満たしていることを確認しますIBM QRadar Network Insights
インスタンスは以下の条件を満たしていなければならないQRadar Network Insights
要件 値
プロセッサー

シングルNUMAノード上の16コア（最小

処理に仮想QRadar Network Insightsを使用しないでください。
メモリー

64GB（最小）
ストレージ
QRadar Network Insights 2つの EBS 汎用SSDボリュームが必要です：
  • 1 x 98GiB（OSおよびソフトウェア）
  • 1 x 250GiB（データ）

OSとソフトウェア用の98GiBボリュームは、QRadarイメージによって自動的に設定される。 追加の250GiBボリュームをデータ用に手動で設定する必要があります。

警告インストール後にストレージを増やすことはできません。
ネットワーキング
QRadar Network Insights 最低2つのNICインターフェースが必要です：
  • 管理インターフェースが１つ
  • モニター・インターフェースが 1 つ
    • モニター・インターフェースの最大伝送単位 (MTU) は、9001 に設定されている必要があります。
    • 最良の結果を得るには、アクセラレーテッド・ネットワーキング・オプションを使用する。
    • より大きなコンピュート最適化インスタンス・タイプでは、より多くのモニタリング・インターフェースを追加できます。
セキュリティ・グループ

管理インターフェイスには、ホストとQRadar Network Insightsおよびインストールされている可能性のあるフローコレクタまたはプロセッサQRadar Consoleの間のSSH、NetFlow,およびメッセージング接続を許可するルールを含む、割り当てられたセキュリティグループが必要です。

監視インターフェースには、ミラーソースからのVXLANトラフィック（ UDP ポート4789）を許可するセキュリティグループが割り当てられている必要があります。 Network ACL （VPC）レベルでもVXLANトラフィックを許可する必要があります。

他の仮想アプライアンスのシステム要件を表示するには、IBM QRadarインストール・ガイド』の「仮想アプライアンスのシステム要件」を参照してくださいIBM QRadar

トラフィックのミラーリング

トラフィック・ミラーリングは、仮想ネットワークTAPを使用して、コンテンツ検査と監視のために、Microsoft Azureインスタンス（ソース）からIBM QRadar Network Insightsインスタンス（ターゲット）にネットワーク・トラフィックを継続的にストリーミングする。

トラフィック・ミラーリングを設定する前に、モニタリング・インターフェイスが接続されたQRadar Network Insightsインスタンスが必要です。

サードパーティのパケット・ブローカーを使用する場合は、VXLANカプセル化されたトラフィックのQRadar Network Insightsモニタリング・ポートへのエクスポートをサポートしている必要があります。

仮想ネットワークTAPの設定については、Microsoft Azureのウェブサイトhttps://learn.microsoft.com/en-us/azure/virtual-network/virtual-network-tap-overviewを参照。

QRadar Network Insightsがフローデータを受信していることの確認

トラフィックミラーセッションが構成された後、IBM QRadar Network Insights管理対象ホストがフローデータを受信していることを確認できます。

始める前に

Microsoft Azure環境にQRadar Consoleと QRadar Network Insightsのマネージドホストを構成する必要があります。

トラフィックをモニタリングインターフェイスに転送するには、トラフィックミラーリングセッションを設定する必要があります。

手順

  1. SSHを使ってターゲット・インスタンスにログインするQRadar Network Insights
  2. トラフィックがQRadar Network Insightsインスタンスに到達していることを確認するには、次のコマンドを入力する：
    tcpdump -i <eth1>

    <eth1>ミラーターゲットのインターフェース名である。

  3. または、ネットワークセキュリティグループ（NSG）のフローログを有効にすることもできます。
    NSG フローログはMicrosoft AzureNetwork Watcher の機能で、NSG を流れる IP トラフィックに関する情報をログに記録することができます。 フローログデータは、QRadar Network Insightsがミラーリングされたトラフィックを受信していることを確認したい場合に役立つ。
    詳細については、Microsoft Azureドキュメントポータルの以下のページを参照してください。