Microsoft Azure への QRadar データ・ゲートウェイのインストール

IBM® QRadar® on Cloud には、データ・ゲートウェイを介して接続します。 Microsoft Azureにデータ・ゲートウェイをインストールできます。

始める前に

ご使用のアプライアンスがデータ・ゲートウェイのシステム要件を満たしていることを確認します。データ・ゲートウェイのシステム要件を参照してください。

このタスクの保守時間帯をスケジュールして、デプロイメントにデータ・ゲートウェイを追加中にユーザーが変更内容をデプロイしないようにします。

ご使用のゲートウェイ・アプライアンスを介して接続するコンソールの完全なホスト名がわかっていることを確認してください。

このタスクについて

QRadar ソフトウェアの問題については、 IBM サポートにお問い合わせください。 Microsoft Azure インフラストラクチャーで問題が発生した場合は、 Microsoft Azure サポートの資料を参照してください。問題の原因が Microsoft Azure インフラストラクチャーであると IBM サポートが判断した場合は、Microsoft に連絡して、 Microsoft Azure インフラストラクチャーの根本的な問題を解決するためのサポートを依頼する必要があります。

静的なプライベート IP アドレスとパブリック IP アドレスを使用する必要があります。

データ・ゲートウェイは、一度に 1 つずつインストールする必要があります。複数のデータ・ゲートウェイをインストールする場合は、1 つのゲートウェイのインストールが完了するまで待機してから、次のゲートウェイをインストールします。

手順

Microsoft Azure Marketplace (https://azuremarketplace.microsoft.com/en-us/marketplace/apps/ibm.qradar750?tab=Overview) に移動します。
「プランと価格」タブを使用して、特定の VM サイズの価格を見積もることができますが、この画面では VM サイズを選択しないでください。
「今すぐ取得 (Get It Now)」をクリックします。
ソフトウェアプランのメニューリストから IBM Security QRadar SIEM v7.5.0 UP9 (BYOL ) を選択し、「続行」をクリックします。
データ・ゲートウェイのインスタンスを作成するには、「作成」をクリックします。
VM 設定を構成します。
1. 既存のリソース・グループを選択するか、新規リソース・グループを作成します。
2. 仮想マシン名を入力します。
  
  注: VM 名は 10 文字以下でなければなりません。
3. 「領域」を選択します。
4. 「すべてのサイズを表示 (See all size)」をクリックし、以下のリストから最小システム要件 (D-Series v4、B-Series、DC-Series、E-Series v4、F-Series v2、H-Series v3、E-Series v3、D-Series v2) を満たす x64-based のサイズを選択します。
  詳しくは、 QRadar on Cloud オンボーディングを参照してください。
5. 管理者アカウントのユーザー名を入力します。
6. 「SSH 公開鍵」または「パスワード」を選択します。
  
  Microsoft Azureで Linux® VM 用の SSH 公開鍵と秘密鍵のペアを作成して使用する方法について詳しくは、Microsoft の資料を参照してください。
「次: ディスク」>をクリックします。
1. 「データ・ディスク」セクションで、「新規ディスクの作成および接続」をクリックします。
2. データ・ディスクの名前を入力します。
3. 「ソース・タイプ」を「なし (空のディスク)」のままにします。
4. 「サイズの変更」をクリックします。
5. 「ディスク SKU」を選択します。
6. ストレージ必要量を見積もり、サイズを GiBで入力します。サイズを入力したら、「OK」をクリックします。
  最小サイズは 250 GiBです。追加されたディスクは、2 台めのディスクである必要があります。 3 台め以降のディスクにはできません。インストールが完了すると、ディスクには /store パーティションと /transient パーティションが含まれます。
  
  警告: インストール後にストレージを増やすことはできません。
7. データ・ディスクを追加するには、「OK」をクリックします。
次: ネットワーキング> をクリックします
1. 仮想ネットワークを作成するか、既存の仮想ネットワークを選択します。
2. 仮想ネットワークのサブネットを作成または選択します。
3. 「NIC ネットワーク・セキュリティー・グループ」の下で、「拡張」を選択します。
4. QRadar Consoleのポート 22 と 443 を許可するネットワーク・セキュリティー・グループを作成または選択して、 QRadar デプロイメントにアクセスできる信頼できる IP アドレスの許可リストを作成します。
  複数のアプライアンスを使用する QRadar デプロイメントでは、管理対象ホスト間で他のポートも許可される場合があります。デプロイメントで許可する必要がある可能性のあるポートについて詳しくは、 QRadarで使用される共通ポートおよびサーバーを参照してください。
「レビュー + 作成」をクリックします。
インスタンスをデプロイするには、「作成」をクリックします。数分かかる場合があります。
VM が Azureにデプロイされたら、「リソースに移動」をクリックします。
VMの準備ができたら、ステップ5fで作成したキー・ペアかパスワードを使ってログインできる。
- SSH とキーのペアを使用してログインするには、次のコマンドを入力します。
```
ssh -i <key.pem> user@<public_IP_address>
```
- SSH とパスワードを使用してログインするには、次のコマンドを入力します。
```
ssh user@<public_IP_address>
```
以下のコマンドを入力します。
```
sudo /root/setup 7000
```
SSH セッションが切断された場合は、以下のオプションのいずれかを使用してインストーラに再接続します。
- QRadar77.5.0 UP8またはそれ以前のバージョンを使用している場合は、次のコマンドを入力します：
```
sudo screen -r qradar
```
- QRadar77.5.0 UP8またはそれ以降のバージョンを使用している場合は、次のコマンドを入力します：
```
sudo tmux a
```
注記:このステップでは、インストーラを最後に使用したセッションに再アタッチします。ログイン時のプロンプトには、セッションを再接続するコマンドも表示される。
システムにより、ルート・パスワードを設定するように求めるプロンプトが表示されます。パスワードは、以下の基準を満たしている必要があります。
- 5 文字以上使用されている
- スペースが含まれていないこと
- @、#、^、および * のうちの 1 つ以上の特殊文字を含みます。
インストール・プロセスの完了後に、このパスワードを変更することはできません。ルート・パスワードは、ゲートウェイ・ホスト・パスワードでもあります。
コンソールと同じバージョンの QRadar にデータ・ゲートウェイをアップグレードします。
1. コンソールにログインします。
2. コンソールの QRadar のバージョンを確認するには、ナビゲーション・メニュー () をクリックし、「バージョン情報」をクリックします。
3. Fix Centralhttps://www.ibm.com/support/fixcentralから、コンソールのバージョンQRadar」のSFSファイルをダウンロードします。
4. ソフトウェア更新の SFS ファイルをデータ・ゲートウェイにコピーします。
5. ssh セッションから切断した場合は、 ssh を使用してデータ・ゲートウェイに再度ログインします。
6. データ・ゲートウェイで、次のコマンドを入力して、SFS ファイルを /storetmp ディレクトリーに移動します。
```
sudo mv <version_number>_QRadar_patchupdate-<full_version_number>.sfs /storetmp
```
7. 次のコマンドを入力して、superuser シェルを開きます。
```
sudo su -
```
8. 以下のコマンドを入力して、 /media/updates ディレクトリーを作成します。
```
mkdir /media/updates
```
9. 次のコマンドを入力して、SFS ファイルをマウントします。
```
mount -o loop -t squashfs /storetmp/<version_number>_QRadar_patchupdate-<full_version_number>.sfs /media/updates
```
10. 次のコマンドを入力して、ソフトウェア更新インストーラーを実行します。
```
/media/updates/installer
```
QRadar on Cloud Self Serve アプリを使用して、データ・ゲートウェイのトークンを生成し、データ・ゲートウェイの IP アドレスを許可リストに登録します。詳細については、コンソールへのアクセス管理を参照のこと。
トークンの受信後、次のようにします。
1. ssh セッションから切断した場合は、 ssh を使用してデータ・ゲートウェイに再度ログインします。
2. 前のステップの後でアプライアンスが再始動されるため、以下のコマンドを入力してスーパーユーザーのシェルを再度開きます。
```
sudo su -
```
3. 断続的な接続に関する既知の問題を軽減するには、新しく追加したデータ・ゲートウェイで以下のコマンドを入力します。
```
mkdir /etc/systemd/system/tunnel-monitor.service.d/; printf "[Service]\nExecStart=\nExecStart=/bin/true\n" > /etc/systemd/system/tunnel-monitor.service.d/override.conf; chmod 644 /etc/systemd/system/tunnel-monitor.service.d/override.conf; systemctl daemon-reload
```
4. データ・ゲートウェイの初期セットアップを終了するために、次のコマンドを入力します。
```
/opt/qradar/bin/setup_qradar_host.py mh_setup interactive -p
```
以下のコマンドを入力して、superuser シェルを終了します。
```
exit
```