マーケットプレイス・イメージからの Amazon Web Services への QRadar データ・ゲートウェイのインストール

IBM® QRadar® on Cloud には、データ・ゲートウェイを介して接続します。提供されている Amazon Machine Image (AMI) を使用して、Amazon Web Services (AWS) でデータ・ゲートウェイをインストールできます。
これは、 AWS GovCloud上の QRadar アプライアンスにも適用されます。

始める前に

ご使用のアプライアンスがデータ・ゲートウェイのシステム要件を満たしていることを確認します。データ・ゲートウェイのシステム要件を参照してください。

このタスクの保守時間帯をスケジュールして、デプロイメントにデータ・ゲートウェイを追加中にユーザーが変更内容をデプロイしないようにします。

ご使用のゲートウェイ・アプライアンスを介して接続するコンソールの完全なホスト名がわかっていることを確認してください。

このタスクについて

QRadar ソフトウェアの問題については、 IBM サポートにお問い合わせください。 AWS インフラストラクチャーに関する問題が生じた場合は、AWS の文書を参照してください。 IBM サポートが、問題の原因が AWS インフラストラクチャーであると判断した場合は、 AWS インフラストラクチャーの根本的な問題を解決するために、Amazon に連絡してサポートを依頼する必要があります。

静的なプライベート IP アドレスとパブリック IP アドレスを使用する必要があります。

データ・ゲートウェイは、一度に 1 つずつインストールする必要があります。複数のデータ・ゲートウェイをインストールする場合は、1 つのゲートウェイのインストールが完了するまで待機してから、次のゲートウェイをインストールします。

手順

IBM Security QRadar SIEM v7.5.0 （BYOL）にアクセスしてください。
「Continue to Subscribe」をクリックします。
「条項に同意する」をクリックします。
サブスクリプションの準備ができたら、「構成に進む」をクリックします。
ソフトウェアのバージョンを IBM、 Security QRadar SIEM、 v7.5.0、 UP11 （BYOL） から選択してください。
領域を選択し、「起動に進む (Continue to Launch)」をクリックします。
「アクションの選択」リストから、「 EC2による起動」を選択します。
「起動」をクリックします。
インスタンスに名前を付けます。
以下のリストから、最小システム要件を満たす EC2 インスタンスを選択します。 (T3, T3A, M6i, M6a, M5, M5a, M5zn, C6i, C6a, C5, C5a, C5n, R6i, R5, R5a, R5b, R5n, X2iezn)
詳細については、 QRadar on Cloud のオンボーディングをご覧ください。
鍵ペアを構成または選択します。この鍵ペアは、SSH を使用してアプライアンスに接続するたびに使用します。
「ネットワーク設定」セクションで「編集」をクリックします。
1. 仮想プライベート・クラウド (VPC) を選択します。
2. VPC 用のサブネットを作成または選択します。
3. ポート 22 および 443 を許可するセキュリティー・グループを作成または選択して、 QRadar デプロイメントにアクセスできる信頼できる IP アドレスの許可リストを作成します。
  
  複数のアプライアンスを使用する QRadar デプロイメントでは、管理対象ホスト間で他のポートも許可される場合があります。デプロイメントで許可する必要がある可能性のあるポートについて詳しくは、 QRadarで使用される共通ポートおよびサーバーを参照してください。
「ストレージの構成」セクションへのナビゲート
1. 「新規ボリュームの追加」をクリックします。
2. ストレージ必要量を見積もり、 GiBにサイズを入力します。
  
  最小サイズは 250 GiBです。追加されたディスクは、2 台めのディスクである必要があります。 3 台め以降のディスクにはできません。インストールが完了すると、このディスクには /store と /transient のパーティションが含まれます。
  警告: インストール後にストレージを増やすことはできません。
3. データ・ディスクの GP3 ボリューム・タイプを選択します。
「インスタンスの起動」をクリックします。
インスタンスの準備ができたら、次のコマンドを入力して、鍵ペアを使用してログインします。
```
ssh -i <key.pem> ec2-user@<public_IP_address>
```
以下のコマンドを入力します。
```
sudo /root/setup 7000
```
システムにより、ルート・パスワードを設定するように求めるプロンプトが表示されます。パスワードは、以下の基準を満たしている必要があります。
- 5 文字以上使用されている
- スペースが含まれていないこと
- @、#、^、および * のうちの 1 つ以上の特殊文字を含みます。
インストール・プロセスの完了後に、このパスワードを変更することはできません。ルート・パスワードは、ゲートウェイ・ホスト・パスワードでもあります。
コンソールと同じバージョンの QRadar にデータ・ゲートウェイをアップグレードします。
1. コンソールにログインします。
2. コンソールの QRadar のバージョンを確認するには、ナビゲーション・メニュー () をクリックし、「バージョン情報」をクリックします。
3. Fix Central （ https://www.ibm.com/support/fixcentral ）から、コンソールが対応しているバージョンの QRadar のSFSファイルをダウンロードします。
4. ソフトウェア更新の SFS ファイルをデータ・ゲートウェイにコピーします。
5. ssh セッションから切断した場合は、 ssh を使用してデータ・ゲートウェイに再度ログインします。
6. データ・ゲートウェイで、次のコマンドを入力して、SFS ファイルを /storetmp ディレクトリーに移動します。
```
sudo mv <version_number>_QRadar_patchupdate-<full_version_number>.sfs /storetmp
```
7. 次のコマンドを入力して、superuser シェルを開きます。
```
sudo su -
```
8. 以下のコマンドを入力して、 /media/updates ディレクトリーを作成します。
```
mkdir /media/updates
```
9. 次のコマンドを入力して、SFS ファイルをマウントします。
```
mount -o loop -t squashfs /storetmp/<version_number>_QRadar_patchupdate-<full_version_number>.sfs /media/updates
```
10. 次のコマンドを入力して、ソフトウェア更新インストーラーを実行します。
```
/media/updates/installer
```
QRadar on Cloud Self Serve アプリを使用して、データ・ゲートウェイのトークンを生成し、データ・ゲートウェイの IP アドレスを許可リストに登録します。詳細は、「コンソールへのアクセス管理」を参照してください。
トークンの受信後、次のようにします。
1. ssh セッションから切断した場合は、 ssh を使用してデータ・ゲートウェイに再度ログインします。
2. 前のステップの後でアプライアンスが再始動されるため、以下のコマンドを入力してスーパーユーザーのシェルを再度開きます。
```
sudo su -
```
3. 断続的な接続に関する既知の問題を軽減するには、新しく追加したデータ・ゲートウェイで以下のコマンドを入力します。
```
mkdir /etc/systemd/system/tunnel-monitor.service.d/; printf "[Service]\nExecStart=\nExecStart=/bin/true\n" > /etc/systemd/system/tunnel-monitor.service.d/override.conf; chmod 644 /etc/systemd/system/tunnel-monitor.service.d/override.conf; systemctl daemon-reload
```
4. データ・ゲートウェイの初期セットアップを終了するために、次のコマンドを入力します。
```
/opt/qradar/bin/setup_qradar_host.py mh_setup interactive -p
```
以下のコマンドを入力して、superuser シェルを終了します。
```
exit
```

次に実行するタスク

データゲートウェイのターゲットプロセッサの編集