Google Cloud への QRadar Network Insights のインストール

QRadar Network Insights を Google Cloudにデプロイするには、以下の手順に従います。

  1. 仮想アプライアンスが最小システム要件を満たしていることを確認します。

    インストールする予定のインスタンスが、達成したいフロー検査レベルをサポートできることを確認します。

  2. Fix Central または Google Cloud Marketplace の イメージを使用して、 コンポーネントをインストールします。 IBM QRadar SIEM QRadar

    QRadar Console および QRadar Network Insights 管理対象ホストをインストールします。 その他の管理対象ホスト (フロー・プロセッサーなど) はオプションです。 Google Cloud への QRadar コンポーネントのインストール方法の詳細については、 Google Cloud Platform の「 QRadar 仮想アプライアンスの構成 」を参照してください。 7.5.0UP7

  3. QRadar Network Insights 管理対象ホストを QRadar Consoleに追加します。
  4. フロー・ソースを構成します。
  5. トラフィック・ミラーリング・セッションを構成します。
  6. デプロイメントがフロー・データを受信していることを確認します。

Google Cloud での QRadar Network Insights のインストールのシステム要件

IBM QRadar Network Insights のインストールを準備するには、仮想アプライアンスが最小システム要件を満たしていることを確認します。

QRadar Network Insights インスタンスは、以下の要件を満たしている必要があります。
要件 値
プロセッサー

8 コア (最小)

ヒント: ヒント: CPU 値ではなくコア値を参照してください。
メモリー 64 GB (最小)
ストレージ

QRadar Network Insights には、以下の 2 つの EBS 汎用 SSD ボリュームが必要です。

  • 1 x 98 GiB (OS およびソフトウェア)
  • 1 x 250 GiB (データ)
ネットワーキング

QRadar Network Insights には、少なくとも以下の 2 つのネットワーク・インターフェースが必要です。

  • 1 つの管理インターフェース (nic0)
  • 1 つのモニター・インターフェース (nic1)

OS およびソフトウェア用の 98 GiB ボリュームは、 QRadar イメージによって自動的に構成されます。 データ用に追加の 250 GiB ボリュームを手動で構成する必要があります。

警告: インストール後にストレージを増やしたり、インスタンス作成後にネットワーク・インターフェースを追加したりすることはできません。

より大規模な計算最適化 (CPU) マシン・タイプの場合、追加のモニター・インターフェースを使用してインスタンスをデプロイできます。

重要: 管理およびモニター用の 1 次内部 IPv4 アドレスは、静的内部 IPV4 アドレス (非共用) でなければなりません。

外部 IPv4 アドレスは必要ありません。

Google Cloud Platform 追加のネットワークインターフェースは、重複しないサブネットIP範囲を持つ別々のVPCネットワークに配置する必要があります。 詳しくは、 複数のネットワーク・インターフェース (https://cloud.google.com/vpc/docs/multiple-interfaces-concepts) を参照してください。

VPC ネットワークのモニター・インターフェースの 「最大伝送単位」 (MTU) 設定を 8896 の最大値に設定します。

Google Cloud Platform でパケットミラーリングを有効にし、ネットワークトラフィックをインスタンス IBM QRadar Network Insights に転送します。 QRadar Network Insights VM インスタンスのデフォルト以外のインターフェースにトラフィックを送信するようにパケット・ミラーリングを構成します。 例えば、 nic1 または nic2です。 詳しくは、 パケット・ミラーリングの使用 (https://cloud.google.com/vpc/docs/using-packet-mirroring) を参照してください。

VPC ファイアウォール・ルール

管理インターフェイスに割り当てられたVPCは、QRadar Network InsightsホストとQRadar Consoleおよび追加のフローコレクタまたはプロセッサ間のインバウンドSSH、アウトバウンドNetFlow,およびメッセージング接続を許可するファイアウォールルールを持つ必要があります。

モニター・インターフェースに割り当てられた VPC ファイアウォール・ポリシーには、ソース・ネットワークからのミラーリングされたトラフィックを許可するための正しいルールが必要です。 詳しくは、 パケット・ミラーリングの使用 (https://cloud.google.com/vpc/docs/using-packet-mirroring) を参照してください。

デプロイメントのアーキテクチャー

次の図は、2 つの QRadar Network Insights ミラー・ターゲットを含むデプロイメント内のトラフィック・フローを示しています。 一方の QRadar Network Insights インスタンスは Flow Processorのフロー・ソースとして使用され、他方のインスタンスはネットワーク・トラフィックを QRadar Consoleに直接送信します。

図1： Google Cloud Platform への QRadar Network Insights デプロイ例

インストール・リファレンス

以下のスクリーン・ショットは、 「ネットワーク・パフォーマンス構成 (Network performance configuration)」 セクションと 「ディスク」 セクションがある Google Cloud コンソールの 「インスタンスの作成 (Create an instance)」 ページの 「拡張オプション (Advanced options)」 セクションを示しています。

図2： Google Cloud コンソールの 「インスタンスの作成」 ページ

7.5.0 仮想 QRadar アプライアンスの構成 UP7Google Cloud Platform 上で

提供されたイメージを使用して、 Google Cloud Platform （ GCP ）インスタンス上に IBMQRadar SIEM 仮想アプライアンスを設定します。

始める前に

サードパーティのクラウドマーケットプレイスからデプロイされたインスタンス QRadar に対して、ソフトウェアノード QRadar の権利を取得する。 インスタンスをデプロイする前に、ソフトウェア・ノードへのエンタイトルメントが配置されている必要がありますQRadar ソフトウェアノード QRadar の権利を取得するには、営業担当者にお問い合わせ QRadar ください。

ソフトウェアに関する問題については、IBM®サポートにお問い合わせくださいQRadar GCP インフラストラクチャーに関する問題が生じた場合は、GCP の文書を参照してください。 IBM サポートが、 GCP インフラストラクチャがお客様の問題の原因であると判断した場合、 GCP インフラストラクチャの根本的な問題を解決するためのサポートについては、 GCP までご連絡いただく必要があります。

重要：静的IPアドレスを使用する必要があります。
重要：2つ以上のDNSエントリーを持つことはできません。 ファイル /etc/resolv.conf に 2 つ以上の DNS エントリがある場合、インストール QRadar は失敗します。

データゲートウェイをインストールする場合は QRadar on Cloud、 Google Cloud Platform におけるデータゲートウェイ QRadar のインストール ( https://www.ibm.com/support/knowledgecenter/en/SSKMKU/com.ibm.qradar.doc_cloud/t_hosted_gcp_image.html ) を参照してください。

  1. 完全修飾ドメイン名（FQDN）が63文字以内になるようにプロジェクト名を作成する。 FQDNは、デプロイメント名の後に-vmゾーン、リージョン、プロジェクト名、および.internalを続けたものです。

    例えば、プロジェクト名が abc-stq-xyz、アプライアンス・デプロイメント名が qr-con、ゾーンが us-east4-c、そしてリージョンが cの場合、FQDN は qr-con-vm.us-east4-c.c.abc-stq-xyz.internal となります。 ゾーンは 10 から 25 文字の間にできます。 ゾーンに応じて 25 から 40 文字程度残るので、プロジェクト名とデプロイメント名とで分け合うことができます。

  2. ステップ 1 で作成したプロジェクトで、ネットワーク・インターフェースを構成します。
    1. Google Cloud Platform > VPC ネットワーク > VPC ネットワークをクリックします。
      ©2019 Google LLC, used with permission. Google and the Google logo are registered trademarks of Google LLC.
    2. CREATE VPC NETWORKオプションをクリックします。
    3. ネットワーク名を指定し、必要に応じて設定を構成します。 DNSサーバーポリシー]フィールドを[サーバーポリシーなし]に設定します。
    4. 作成」をクリックする。
  3. プロジェクトにSSHキーを追加する。 鍵は、cloud-user というユーザー用に作成する必要があります。
    1. Google Cloud Platform > Compute Engine > メタデータをクリックします。
      ©2019 Google LLC, used with permission. Google and the Google logo are registered trademarks of Google LLC.
    2. SSH Keysをクリックします。
    3. 編集をクリックする。
    4. 項目の追加をクリックします。
    5. SSH 鍵を入力し、その後に cloud-user と入力します。
    6. セーブをクリック。

手順

  1. QRadar 7.5.0 UP7 仮想アプライアンス・イメージを IBM Fix Central ウェブサイトからダウンロードして https://www.ibm.com/support/fixcentral/swg/selectFixes?product=ibm%2FOther+software%2FIBM+Security+QRadar+SIEM&fixids=7.5.0-UP7-CMP-GoogleCloud-SingleImage-QRADAR-202309270935&function=fixId&parent=IBM%20Security
    1. 画像と .sig ファイルをダウンロードする。 ダウンロードには数時間かかる。
    2. ダウンロードしたイメージの完全性を確認するには、 .sig ファイルを使用します。 詳細については、 IBM Fix Centralからのダウンロードが信頼できるものであり、コード署名されていることを確認する方法を参照してください。
  2. Google Cloudにアクセスし、画像ファイルを Google Cloud Storageにアップロードする。 このアップロードには、1 時間かかる可能性があります。
    注意画像ファイルの名前を変更しないでください。 画像の名前を変更すると、インポートに失敗することがあります。
  3. Google Cloud シェルで次のコマンドを実行し、生のイメージを GCP アカウントにインポートします。
    gcloud compute images create <IMAGE NAME> --project=<GCP PROJECT NAME> --source-uri gs://<BUCKET NAME>/<RAW FILE PATH> --guest-os-features=MULTI_IP_SUBNET,UEFI_COMPATIBLE
    インポート処理には最大1時間かかる。
  4. Navigation Menu（ナビゲーションメニュー） ＞ Computer Engine（コンピュータエンジン ）＞ Images（イメージ ）と進み、インポートしたイメージを選択し、 Create Instance（インスタンスの作成 ）をクリックします。
  5. 完全修飾ドメイン名 (FQDN) が 63 文字以内になるようにアプライアンスのデプロイメント名を設定します。 FQDNは、デプロイメント名、ゾーン、プロジェクト名、および.internalで構成されます。

    例えば、プロジェクト名が abc-stq-xyz、アプライアンス・デプロイメント名が qr-con、ゾーンが us-east4-c、そしてリージョンが cの場合、FQDN は qr-con-vm.us-east4-c.c.abc-stq-xyz.internal となります。 ゾーンは 10 から 25 文字の間にできます。 ゾーンに応じて 25 から 40 文字程度残るので、プロジェクト名とデプロイメント名とで分け合うことができます。

  6. プロジェクトがあるゾーンを選択します。
  7. システム要件を満たすマシンタイプを選択します。 詳細については、仮想アプライアンスのシステム要件を参照してください
  8. 必要なBoot Disk Typeを選択し、Boot Disk Sizeを98 GBに設定する。
  9. 作成したネットワーク・インターフェースを選択します。
  10. 信頼できる IP アドレスからのみポート 22 と 443 を許可するアプライアンスのファイアウォール ルールを設定し、QRadar配置にアクセスできる IP アドレスの許可リストを作成します。
    複数のアプライアンスを使用するQRadar展開では、他のポートも管理ホスト間で許可される場合があります。 デプロイメントで許可する必要があるポートの詳細については、 QRadarが使用する一般的なポートとサーバ」を参照してください。
  11. プロンプトが表示された場合、 「 GCP マーケットプレイスの利用規約に同意します」 のチェックボックスを選択してください。
  12. デプロイをクリックする。
  13. FirewallsとAdditional Disksフィールドを設定する。
    1. Google Cloud Platform > Compute Engine > VM インスタンスをクリックします。
    2. リストからアプライアンスを選択します。
    3. 編集をクリックする。
    4. Firewalls セクションで、 Allow HTTP trafficと Allow HTTPS trafficにチェックを入れる。
    5. 追加ディスクを設定する。
      • 追加ディスク］セクションで［新しいディスクを追加］をクリックします。
      • ディスク設定セクションで、適切なディスクタイプを選択します。
      • ストレージの必要量を見積もり、サイズをGiB単位で入力する。 最小サイズは250GiB。
      • 削除ルール］フィールドで、［ディスクを削除］をチェックする。
      • セーブをクリック。
    6. メインの編集ページでセーブをクリックする。
  14. インスタンスの準備ができたら、SSHとキー・ペアを使用して以下のコマンドを入力してログインする：
    ssh -i <key.pem> cloud-user@<public_IP_address>
  15. 以下のコマンドを入力して、FQDNの長さをチェックしてください： 
    hostname -f | wc -c
    コマンドが63以上の値を返した場合、インストール処理は失敗する。 より短い配備名でこの手順を再開する。
  16. 以下のコマンドを入力して、インスタンスのDNSエントリが2つ以上ないことを確認する：
    grep nameserver /etc/resolv.conf | wc -l
    コマンドが3つ以上のエントリーを返した場合、次のステップに進む前に、/etc/resolv.confを編集して2つ以外のエントリーを削除する。 インストールが完了したら、エントリーを追加することができます。
  17. QRadar Consoleインストールするには、以下のコマンドを入力する： 
    sudo /root/setup <appliance_id>
    たとえば、Event Collectorをデプロイするには、次のコマンドを入力します：
    sudo /root/setup 1599
    アプライアンスのタイプ ID アプライアンスのタイプ
    1299 フロー・コレクター
    1400 データ・コレクター
    1599 イベント・コレクター
    1699 イベント・プロセッサー
    1799 Flow Processor
    1899 イベント・プロセッサーおよびフロー・プロセッサー
    3199 QRadar SIEM All-in-One (QRadar Console)
    4000 QRadar AppHost
    6500 QRadar Network Insights
    7000 イベント・コレクター、フロー・コレクター、およびデータ・ゲートウェイ
  18. 管理者アカウントのパスワードを入力します。 次の条件を満たす強いパスワードを設定します。
    • 5 文字以上使用されている
    • スペースが含まれていないこと
    • 特殊文字 @、#、^、* は含めることができる

次に実行するタスク

/etc/resolv.conf内の DNS 項目を除去した場合は、それらを復元します。

インストール QRadar SIEM All-in-One (QRadar Console) 時、インスタンス QRadar は協定世界時（UTC）を使用します。 インスタンスのタイム・ゾーンは変更できます。 タイムゾーンの変更の詳細については、システム時刻の設定を参照してください。

このイメージは、ソフトウェアの自動アップグレードを受け取りません。 システムを最新の状態に保つには、手動でアップグレードする必要がある。 アップグレード QRadar 通知を受け取るには、 「更新通知の QRadar 受信」 を参照してください。

すべてのマネージドホスト（データゲートウェイを除く）のインストールについては、マネージドホストの追加を参照してください。

仮想アプライアンスをマネージドホストとして追加し、フローソースとトラフィックミラーリングを設定する方法の詳細については、QRadar Network Insights Google Cloud上のインストール」を参照してください。