Google Cloud Platform へのデータゲートウェイ QRadar のインストール

IBM® QRadar® on Cloud には、データ・ゲートウェイを介して接続します。提供されているイメージを使用して、Google Cloud Platform (GCP) でデータ・ゲートウェイをインストールできます。

始める前に

ご使用のアプライアンスがデータ・ゲートウェイのシステム要件を満たしていることを確認します。データ・ゲートウェイのシステム要件を参照してください。

このタスクの保守時間帯をスケジュールして、デプロイメントにデータ・ゲートウェイを追加中にユーザーが変更内容をデプロイしないようにします。

ご使用のゲートウェイ・アプライアンスを介して接続するコンソールの完全なホスト名がわかっていることを確認してください。

このタスクについて

QRadar ソフトウェアの問題については、 IBM サポートにお問い合わせください。 GCP インフラストラクチャーに関する問題が生じた場合は、GCP の文書を参照してください。 IBM サポートが、お客様の問題が GCP インフラストラクチャに起因すると判断した場合、 GCP インフラストラクチャの根本的な問題を解決するためのサポートについては、 GCP までご連絡いただく必要があります。

静的なプライベート IP アドレスとパブリック IP アドレスを使用する必要があります。

データ・ゲートウェイは、一度に 1 つずつインストールする必要があります。複数のデータ・ゲートウェイをインストールする場合は、1 つのゲートウェイのインストールが完了するまで待機してから、次のゲートウェイをインストールします。

3 つ以上の DNS エントリーを持つことはできません。 /etc/resolv.conf ファイルに 3 つ以上の DNS エントリーがある場合、 QRadar のインストールは失敗します。

手順

GCP に、完全修飾ドメイン名 (FQDN) が 63 文字以内になるようにプロジェクト名を作成します。 FQDN は、デプロイメント名と、それに続く -vm、ゾーン、リージョン、プロジェクト名、および .internalで構成されます。

例えば、プロジェクト名が abc-stq-xyz、アプライアンス・デプロイメント名が qr-con、ゾーンが us-east4-c、そしてリージョンが cの場合、FQDN は qr-con-vm.us-east4-c.c.abc-stq-xyz.internal となります。ゾーンは 10 から 25 文字の間にできます。ゾーンに応じて 25 から 40 文字程度残るので、プロジェクト名とデプロイメント名とで分け合うことができます。
ステップ 1 で作成したプロジェクトで、ネットワーク・インターフェースを構成します。
1. Google Cloud Platform > VPC ネットワーク > VPC ネットワークをクリックします。
  _{©2019 Google LLC, used with permission. Google and the
  Google logo are registered trademarks of Google LLC.}
2. 「VPC ネットワークの作成 (CREATE VPC NETWORK)」をクリックします。
3. ネットワーク名を指定し、必要に応じて設定を構成します。「DNS サーバー・ポリシー」を「サーバー・ポリシーなし」に設定します。
4. 「作成」をクリックします。
まだプロジェクトに SSH 鍵を追加していない場合は、これを追加します。この鍵は、 cloud-userというユーザー用に作成する必要があります。
1. Google Cloud Platform > Compute Engine > メタデータをクリックします。
  _{©2019 Google LLC, used with permission. Google and the
  Google logo are registered trademarks of Google LLC.}
2. 「SSH 鍵」をクリックします。
3. 「編集」をクリックします。
4. 「項目の追加」をクリックします。
5. SSH 鍵を入力し、その後に cloud-userを入力します。
6. 「保存」をクリックします。
QRadar'7.5.0'UP7仮想アプライアンスイメージを 'IBM'Fix Centralウェブサイトからダウンロードする： https://www.ibm.com/support/fixcentral/swg/selectFixes?product=ibm%2FOther+software%2FIBM+Security+QRadar+SIEM&fixids=7.5.0-UP7-CMP-GoogleCloud-SingleImage-QRADAR-202309270935&function=fixId&parent=IBM%20Security
1. イメージと .sig ファイルをダウンロードします。ダウンロードには数時間かかる。
2. ダウンロードした画像の完全性を検証するために、'.sigファイルを使用する。詳しくは、 How to validate downloads from IBM Fix Central are trusted and code signedを参照してください。
Google Cloudにアクセスし、画像ファイルをGoogle Cloud Storageにアップロードする。このアップロードには、1 時間かかる可能性があります。

重要: イメージ・ファイルの名前を変更しないでください。画像の名前を変更すると、インポートに失敗することがあります。
Google Cloud シェルで次のコマンドを実行し、生のイメージを GCP アカウントにインポートします。
```
gcloud compute images create <IMAGE NAME> --project=<GCP PROJECT NAME> --source-uri gs://<BUCKET NAME>/<RAW FILE PATH> --guest-os-features=MULTI_IP_SUBNET,UEFI_COMPATIBLE
```
インポート処理には最大1時間かかる。
Navigation Menu（ナビゲーションメニュー）＞ Computer Engine（コンピュータエンジン）＞ Images（イメージ）と進み、インポートしたイメージを選択し、Create Instance（インスタンスの作成）をクリックします。
完全修飾ドメイン名 (FQDN) が 63 文字以内になるようにアプライアンスのデプロイメント名を設定します。 FQDN は、デプロイメント名、ゾーン、プロジェクト名、および .internalで構成されます。

例えば、プロジェクト名が abc-stq-xyz、アプライアンス・デプロイメント名が qr-con、ゾーンが us-east4-c、そしてリージョンが cの場合、FQDN は qr-con-vm.us-east4-c.c.abc-stq-xyz.internal となります。ゾーンは 10 から 25 文字の間にできます。ゾーンに応じて 25 から 40 文字程度残るので、プロジェクト名とデプロイメント名とで分け合うことができます。
プロジェクトがあるゾーンを選択します。
最小システム要件を満たすマシン・タイプを選択します。
詳しくは、 QRadar on Cloud オンボーディングを参照してください。
作成したネットワーク・インターフェースを選択します。
信頼された IP アドレスからのみポート 22 および 443 へのアクセスを許可するアプライアンスのファイアウォール・ルールを設定して、ご使用の Qradar デプロイメントにアクセスできる IP アドレスの許可リストを作成します。
複数のアプライアンスを使用する QRadar デプロイメントでは、管理対象ホスト間で他のポートも許可される場合があります。デプロイメントで許可する必要があるポートについて詳しくは、 QRadarで使用される共通ポートおよびサーバーを参照してください。
GCP マーケットプレイスの利用規約に同意します。
「デプロイ」をクリックします。
アプライアンスの静的 IP アドレスを設定します。
1. Google Cloud Platform > Compute Engine > VM インスタンスをクリックします。
2. リストからアプライアンスを選択します。
3. 「編集」をクリックします。
4. ネットワーク・インターフェースを編集します。
  - 「内部 IP の種類」パラメーターを「静的」に設定し、新しい IP アドレスを予約します。
  - 静的な「外部 IP」アドレスを選択するか作成します。
5. 「完了」をクリックします。
インスタンスの準備ができたら、次のコマンドを入力して、 SSH と鍵ペアを使用してログインします。
```
ssh -i <key.pem> cloud-user@<public_IP_address>
```
FQDN の長さを確認するために、次のコマンドを入力します。
```
hostname -f | wc -c
```
このコマンドで 64 以上の値が返された場合、インストールは失敗します。仮想マシン名を短くして、この手順をやり直してください。
以下のコマンドを入力します。
```
sudo /root/setup_mh 7000
```
システムにより、ルート・パスワードを設定するように求めるプロンプトが表示されます。パスワードは、以下の基準を満たしている必要があります。
- 5 文字以上使用されている
- スペースが含まれていないこと
- @、#、^、および * のうちの 1 つ以上の特殊文字を含みます。
インストール・プロセスの完了後に、このパスワードを変更することはできません。ルート・パスワードは、ゲートウェイ・ホスト・パスワードでもあります。
コンソールと同じバージョンの QRadar にデータ・ゲートウェイをアップグレードします。
1. コンソールにログインします。
2. コンソールの QRadar のバージョンを確認するには、ナビゲーション・メニュー () をクリックし、「バージョン情報」をクリックします。
3. Fix Central (https://www.ibm.com/support/fixcentral) から、コンソールに表示されているバージョンの QRadar の SFS ファイルをダウンロードします。
4. ソフトウェア更新の SFS ファイルをデータ・ゲートウェイにコピーします。
5. ssh セッションから切断した場合は、 ssh を使用してデータ・ゲートウェイに再度ログインします。
6. データ・ゲートウェイで、次のコマンドを入力して、SFS ファイルを /storetmp ディレクトリーに移動します。
```
sudo mv <version_number>_QRadar_patchupdate-<full_version_number>.sfs /storetmp
```
7. 次のコマンドを入力して、superuser シェルを開きます。
```
sudo su -
```
8. 以下のコマンドを入力して、 /media/updates ディレクトリーを作成します。
```
mkdir /media/updates
```
9. 次のコマンドを入力して、SFS ファイルをマウントします。
```
mount -o loop -t squashfs /storetmp/<version_number>_QRadar_patchupdate-<full_version_number>.sfs /media/updates
```
10. 次のコマンドを入力して、ソフトウェア更新インストーラーを実行します。
```
/media/updates/installer
```
QRadar on Cloud Self Serve アプリを使用して、データ・ゲートウェイのトークンを生成し、データ・ゲートウェイの IP アドレスを許可リストに登録します。詳しくは、コンソールへのアクセス管理を参照してください。
トークンの受信後、次のようにします。
1. ssh セッションから切断した場合は、 ssh を使用してデータ・ゲートウェイに再度ログインします。
2. 前のステップの後でアプライアンスが再始動されるため、以下のコマンドを入力してスーパーユーザーのシェルを再度開きます。
```
sudo su -
```
3. 断続的な接続に関する既知の問題を軽減するには、新しく追加したデータ・ゲートウェイで以下のコマンドを入力します。
```
mkdir /etc/systemd/system/tunnel-monitor.service.d/; printf "[Service]\nExecStart=\nExecStart=/bin/true\n" > /etc/systemd/system/tunnel-monitor.service.d/override.conf; chmod 644 /etc/systemd/system/tunnel-monitor.service.d/override.conf; systemctl daemon-reload
```
4. データ・ゲートウェイの初期セットアップを終了するために、次のコマンドを入力します。
```
/opt/qradar/bin/setup_qradar_host.py mh_setup interactive -p
```
以下のコマンドを入力して、superuser シェルを終了します。
```
exit
```

次に実行するタスク

データ・ゲートウェイのターゲット・プロセッサーの編集