IBM Cloud での QRadar データ・ゲートウェイのインストール

データ・ゲートウェイを介して IBM® QRadar® on Cloud に接続します。 IBM Cloudにデータ・ゲートウェイをインストールできます。

始める前に

ご使用のアプライアンスがデータ・ゲートウェイのシステム要件を満たしていることを確認します。データ・ゲートウェイのシステム要件を参照してください。

このタスクの保守時間帯をスケジュールして、デプロイメントにデータ・ゲートウェイを追加中にユーザーが変更内容をデプロイしないようにします。

ご使用のゲートウェイ・アプライアンスを介して接続するコンソールの完全なホスト名がわかっていることを確認してください。

このタスクについて

QRadar ソフトウェアに関する問題については、 IBM サポートにお問い合わせください。 IBM Cloud® インフラストラクチャーで問題が発生した場合は、 IBM Cloud の資料 (https://cloud.ibm.com/docs) を参照してください。問題の原因が IBM Cloud インフラストラクチャーであると IBM サポートが判断した場合は、 IBM Cloud に連絡して、根本的な問題を解決するためのサポートを依頼する必要があります。

静的なプライベート IP アドレスとパブリック IP アドレスを使用する必要があります。

データ・ゲートウェイは、一度に 1 つずつインストールする必要があります。複数のデータ・ゲートウェイをインストールする場合は、1 つのゲートウェイのインストールが完了するまで待機してから、次のゲートウェイをインストールします。

3 つ以上の DNS エントリーを持つことはできません。 /etc/resolv.conf ファイルに 3 つ以上の DNS エントリーがある場合、 QRadar のインストールは失敗します。

手順

.vhd イメージ・ファイルをダウンロードします。
1. Fix Central (https://www.ibm.com/support/fixcentral/swg/selectFixes?parent=IBM%20Security&product=ibm/Other+software/IBM+Security+QRadar+SIEM&release=7.4.0&platform=Linux®& function = all) の「CLOUD MARKET PLACE」セクションに移動します。
2. 7.4.1-CMP-IBMCloud-MANAGEDHOST-PRIVATE-QRADAR-QRSIEM-20200716115107をクリックします。
3. .vhd ファイルと .sig ファイルをダウンロードします。
  .vhd ファイルのダウンロードには数時間かかります。
.vhd イメージ・ファイルをアップロードします。
1. IBM Cloud (https://cloud.ibm.com/) に進み、新規ストレージ・バケットを作成します。
  ステップ 3 で、ストレージ・バケットによって使用されるロケーションと、ストレージ・バケットの IBM Cloud API キーが必要になります。
2. .vhd ファイルをアップロードします。
  このアップロードには、1 時間かかる可能性があります。 .vhd ファイルの名前を変更しないでください。ファイルの名前を変更すると、インポートが失敗します。
.vhd イメージをインポートします。
1. IBM Cloudで、ナビゲーション・メニュー () > 「クラシック・インフラストラクチャー」 > 「管理」 > 「イメージ」をクリックします。
2. 「カスタム・イメージのインポート」をクリックします。
3. イメージの名前と、ストレージ・バケットの IBM Cloud API キーを入力します。
4. Cloud Object Storage サービス・インスタンス、ストレージ・バケットが使用するロケーション、ストレージ・バケット、およびアップロードした .vhd ファイルを選択します。
5. RedHat EL 7.0 最小 (64 ビット)」を選択します。
6. 「ブート・モード」メニューから、「ハードウェア仮想マシン (HVM)」を選択します。
7. ライセンスと Cloud-initを確認してください。
8. 「イメージのインポート」をクリックします。
  インポートには、15 分間かかる可能性があります。
ネットワーク設定を構成し、インスタンスを作成します。
1. ナビゲーション・メニュー () > 「クラシック・インフラストラクチャー」 > 「管理」 > 「イメージ」をクリックします。
2. 「可視性」メニューで、「プライベート・イメージ」を選択し、アップロードしたイメージを見つけます。
3. 「アクション」メニュー () > 「パブリック VSI の注文」をクリックします。
4. 「パブリック・マルチテナント」仮想サーバー・タイプを選択します。
5. ホスト名とドメインを入力します。ホスト名とドメインの合計文字数が、64 文字を超えないようにする必要があります。
6. データ・センターの場所を選択します。
7. データ・ゲートウェイのシステム要件を満たすプロファイルを選択します。データ・ゲートウェイのシステム要件を参照してください。
  
  重要: 平衡型ローカル・ストレージ・ファミリーのプロファイルはサポートされていません。
8. SSH 鍵を選択します (ある場合)。それ以外の場合は、「なし」を選択します。
9. 「パブリック」&「プライベート」ネットワーク・アップリンクの下のアップリンク・ポート速度を選択します。
  プライベート専用ネットワークを選択する必要があります。データ・ゲートウェイはプライベート IP アドレスのみを持ち、同じネットワーク内でのみ、またはユーザーが選択したルーティング・ソリューションを介してのみアクセスできます。
10. プライベート・セキュリティー・グループの場合は、 allow_all と allow_outbound を選択します。パブリック・マシンをデプロイする場合、 allow_all および allow_outbound をパブリック・セキュリティー・グループにも選択します。
  複数のアプライアンスを使用する QRadar デプロイメントでは、管理対象ホスト間で多数のポートを許可する必要があります。デプロイメントでどのポートを許可する必要があるかについて詳しくは、 QRadar ポートの使用を参照してください。必要のないポートは、ファイアウォールなどの、ポートを制限できるテクノロジーを使用して制限してください。
11. サード・パーティー・サービス契約に同意して、「作成」をクリックします。
「デバイス」画面がロードされます。数分で、「開始日」フィールドに日付が表示されます。
インスタンスに「開始日」が設定されたら、インスタンスのストレージを構成します。
1. ナビゲーション・メニュー () > 「クラシック・インフラストラクチャー」 > Block Storageをクリックします。
2. 「ポータブル・ストレージ」セクションで、「ポータブル・ストレージの注文 (Order Portable Storage)」をクリックします。
3. インスタンスが存在するポータブル・ストレージと同じリージョン、ロケーション、およびゾーンを選択します。
4. ポータブル・ストレージの説明を入力します。
5. ストレージ必要量を見積もり、2 番目のディスクのサイズ (GB) を入力します。
  最小サイズは 250 GB です。追加されたディスクは、2 台めのディスクである必要があります。 3 台め以降のディスクにはできません。
  インストールが完了すると、このディスクには /store と /transient のパーティションが含まれます。
  
  警告: インストール後にストレージを増やすことはできません。
6. サービス契約に同意して、「作成」をクリックします。
ストレージをインスタンスに接続します。
1. ナビゲーション・メニュー () > 「クラシック・インフラストラクチャー」 > Block Storageをクリックします。
2. 「ポータブル・ストレージ」セクションで、作成したディスクを見つけ、「アクション」メニュー () > 「接続」をクリックします。
3. 作成したインスタンスを見つけて、「関連付け」をクリックします。
4. ディスク接続中に仮想サーバーがシャットダウンされるという警告を受け入れて、「接続」をクリックします。
2 台めのディスクが追加され、インスタンスが再始動されます。このプロセスには数分かかります。
データ・ゲートウェイをインストールし、管理者パスワードを設定します。
1. インスタンスの準備ができたら、次のコマンドを入力してログインします。
```
ssh root@<public_IP_address>
```
  SSH 鍵を使用しない場合は、ルート・パスワードを入力するように求めるプロンプトが表示されます。このパスワードは、インスタンスの詳細に記載されています。
  
  ホストに直接 SSH で接続することはできません。最初に、ホストへのアクセスを許可するルーターに接続する必要があります。
2. 以下のコマンドを入力します。
```
sudo /root/setup_mh 7000
```
3. ルート・パスワードを設定するよう求めるプロンプトが表示されます。次の条件を満たす強いパスワードを設定します。
  - 5 文字以上使用されている
  - スペースが含まれていないこと
  - 特殊文字 @、 #、 ^、および *のうちの 1 つ以上を含みます。
コンソールと同じバージョンの QRadar にデータ・ゲートウェイをアップグレードします。
1. コンソールにログインします。
2. コンソールがある QRadar のバージョンを確認するには、ナビゲーション・メニュー () をクリックしてから、「バージョン情報」をクリックします。
3. コンソールがあるバージョンの QRadar の SFS ファイルを Fix Central (https://www.ibm.com/support/fixcentral) からダウンロードします。
4. ソフトウェア更新の SFS ファイルをデータ・ゲートウェイにコピーします。
5. ssh セッションから切断した場合は、 ssh を使用してデータ・ゲートウェイに再度ログインします。
6. データ・ゲートウェイで、次のコマンドを入力して、SFS ファイルを /storetmp ディレクトリーに移動します。
```
sudo mv <version_number>_QRadar_patchupdate-<full_version_number>.sfs /storetmp
```
7. 次のコマンドを入力して、superuser シェルを開きます。
```
sudo su -
```
8. 以下のコマンドを入力して、 /media/updates ディレクトリーを作成します。
```
mkdir /media/updates
```
9. 次のコマンドを入力して、SFS ファイルをマウントします。
```
mount -o loop -t squashfs /storetmp/<version_number>_QRadar_patchupdate-<full_version_number>.sfs /media/updates
```
10. 次のコマンドを入力して、ソフトウェア更新インストーラーを実行します。
```
/media/updates/installer
```
QRadar on Cloud Self Serve アプリを使用して、データ・ゲートウェイのトークンを生成し、データ・ゲートウェイの IP アドレスを許可リストに登録します。詳しくは、コンソールへのアクセス管理を参照してください。
トークンの受信後、次のようにします。
1. ssh セッションから切断した場合は、 ssh を使用してデータ・ゲートウェイに再度ログインします。
2. 前のステップの後でアプライアンスが再始動されるため、以下のコマンドを入力してスーパーユーザーのシェルを再度開きます。
```
sudo su -
```
3. 断続的な接続に関する既知の問題を軽減するには、新しく追加したデータ・ゲートウェイで以下のコマンドを入力します。
```
mkdir /etc/systemd/system/tunnel-monitor.service.d/; printf "[Service]\nExecStart=\nExecStart=/bin/true\n" > /etc/systemd/system/tunnel-monitor.service.d/override.conf; chmod 644 /etc/systemd/system/tunnel-monitor.service.d/override.conf; systemctl daemon-reload
```
4. データ・ゲートウェイの初期セットアップを終了するために、次のコマンドを入力します。
```
/opt/qradar/bin/setup_qradar_host.py mh_setup interactive -p
```
以下のコマンドを入力して、superuser シェルを終了します。
```
exit
```

次に実行するタスク

データ・ゲートウェイのターゲット・プロセッサーの編集