QRadar データゲートウェイをインストールする IBM Cloud VPC

データ・ゲートウェイを介して IBM® QRadar® on Cloud に接続します。データゲートウェイは、 IBM Cloud VPC にインストールできます。

始める前に

ご使用のアプライアンスがデータ・ゲートウェイのシステム要件を満たしていることを確認します。データ・ゲートウェイのシステム要件を参照してください。

このタスクの保守時間帯をスケジュールして、デプロイメントにデータ・ゲートウェイを追加中にユーザーが変更内容をデプロイしないようにします。

ご使用のゲートウェイ・アプライアンスを介して接続するコンソールの完全なホスト名がわかっていることを確認してください。

このタスクについて

QRadar ソフトウェアに関する問題については、 IBM サポートにお問い合わせください。 IBM Cloud® VPC のインフラストラクチャに問題が発生した場合は、 IBM Cloud VPC のドキュメント（ https://cloud.ibm.com/docs ）を参照してください。 IBM サポートが、お客様の問題が IBM Cloud VPC インフラストラクチャに起因すると判断した場合、根本的な問題を解決するためのサポートを受けるには、 IBM Cloud までお問い合わせいただく必要があります。

静的なプライベート IP アドレスとパブリック IP アドレスを使用する必要があります。

データ・ゲートウェイは、一度に 1 つずつインストールする必要があります。複数のデータ・ゲートウェイをインストールする場合は、1 つのゲートウェイのインストールが完了するまで待機してから、次のゲートウェイをインストールします。

手順

.qcow2 イメージ・ファイルをダウンロードします。
1. Fix Central (https://www.ibm.com/support/fixcentral/swg/selectFixes?parent=IBM%20Security&product=ibm/Other+software/IBM+Security+QRadar+SIEM&release=7.4.0&platform=Linux®& function = all) の「CLOUD MARKET PLACE」セクションに移動します。
2. 7.4.3-CMP-IBMCloudVPC-MH-QRADAR-20220329114452をクリックします。
3. .qcow2 ファイルと .sig ファイルをダウンロードします。
  .qcow2 ファイルのダウンロードには数時間かかります。
4. .sig ファイルを使用して、 .qcow2 ファイルの整合性を検証します。
  詳細については、IBM Fix Centralからのダウンロードが信頼され、コードが署名されたことの確認方法を参照してください。
.qcow2 イメージ・ファイルをアップロードします。
1. IBM Cloud (https://cloud.ibm.com/) に進み、新規ストレージ・バケットを作成します。
  ステップ 3 でストレージ・バケットによって使用されるロケーションが必要です。
2. .qcow2 ファイルをアップロードします。
  このアップロードには、1 時間かかる可能性があります。 .qcow2 ファイルの名前を変更しないでください。ファイルの名前を変更すると、インポートが失敗します。
.qcow2 ファイルをインポートします。
1. IBM Cloudで、ナビゲーション・メニュー () > VPC インフラストラクチャー > 「カスタム・イメージ」をクリックします。
2. 「作成」をクリックします。
3. イメージの名前を入力し、そのイメージが属するリソース・グループを選択します。
4. 「ソース」を Cloud Object Storageに設定します。
5. Cloud Object Storage サービス・インスタンス、ストレージ・バケットが使用するロケーション、ストレージ・バケット、およびアップロードした .qcow2 ファイルを選択します。
  
  注: イメージを複数のリージョンにインポートする場合は、ステップ 2 を繰り返し、目的のリージョンごとに新しいストレージ・バケットを作成する必要があります。
6. オペレーティング・システムを Red Hat Enterprise Linuxに設定し、バージョンを red-7-amd64-byolに設定します。
7. 「カスタム・イメージの作成」をクリックします。
  インポートには最大 10 分かかることがあります。
イメージの状況が次のようになると、Available、インスタンスを作成します。
1. > 「VPC インフラストラクチャー」 > 「仮想サーバー・インスタンス」をクリックします。
2. 「作成 + (Create +)」をクリックします。
3. 「アーキテクチャー」を「Intel」に設定します。
4. 「ホスティング・タイプ」を「パブリック」に設定します。
5. このロケーションを、ステップ 3 でイメージをインポートしたのと同じリージョンに設定します。
6. 57 文字を超えない名前をインスタンスに付けます。
  名前に使用できるのは、英数字と - 記号のみです。
7. インスタンスのリソース・グループを選択します。
8. より簡単にインスタンスを識別できるようにするには、インスタンスのタグを入力します。
9. 「オペレーティング・システム」を「カスタム・イメージ」に設定します。
  「カスタム・イメージの選択」ウィンドウが表示されます。
10. ステップ 3 でインポートしたイメージを選択し、「選択」をクリックします。
11. 「すべてのプロファイルを表示」をクリックします。
  「インスタンス・プロファイルの選択」ウィンドウが表示されます。
12. データ・ゲートウェイのシステム要件を満たすプロファイルを選択します。データ・ゲートウェイのシステム要件を参照して、「保存」をクリックします。
  
  重要: インスタンス・ストレージを使用するインスタンスはサポートされていません。
13. SSH 鍵ペアを選択または作成します。
  SSH を使用してインスタンスにアクセスするには、SSH 鍵ペアが必要です。
14. 「データ・ボリューム」セクションで、「作成 +」をクリックします。
15. 2 番目のディスクの「名前」を入力します。
16. ストレージ必要量を見積もり、2 番目のディスクのサイズ (GB) を入力します。
  最小サイズは 250 GB です。追加されたディスクは、2 台めのディスクである必要があります。 3 台め以降のディスクにはできません。
  インストールが完了すると、このディスクには /store と /transient のパーティションが含まれます。
  
  警告: インストール後にストレージを増やすことはできません。
17. プロファイルを選択し、IOPS を設定して、「作成」をクリックします。
18. 仮想プライベート・クラウドを選択します。
19. 「ネットワーク・インターフェース」セクションで、 eth0の横にあるアイコンをクリックします。
20. インターフェースを eth0 に設定したままにして、「サブネット」を選択します。
21. 「予約方式」を「指定する」に設定し、サブネットから予約済みプライベート IP アドレスを選択します。
  この IP アドレスは、インスタンスに関連付けられたプライベート IP アドレスになります。
22. 信頼できる IP アドレスからのみポート 22 および 443 を許可するセキュリティー・グループを選択し、「保存」をクリックします。
  複数のアプライアンスを使用する QRadar デプロイメントでは、管理対象ホスト間で多数のポートを許可する必要があります。デプロイメントでどのポートを許可する必要があるかについて詳しくは、 QRadar ポートの使用を参照してください。必要のないポートは、ファイアウォールなどの、ポートを制限できるテクノロジーを使用して制限してください。
23. 「仮想サーバーの作成」をクリックします。
インスタンスの状況が以下の場合Runningインスタンスに浮動 IP アドレスを割り当てます。
1. 作成したインスタンスをクリックします。
2. 「ネットワーク・インターフェース」セクションで、 eth0の横にあるアイコンをクリックします。
3. 浮動 IP アドレスドロップダウンから IP アドレスまたは新規浮動 IP の予約を選択し、保存をクリックします。
データ・ゲートウェイをインストールし、ルート・パスワードを設定します。
1. 浮動 IP アドレスが割り当てられたら、以下のコマンドを入力してログインします。
```
ssh -i <private_key> cloud-user@<public_IP_address>
```
2. 以下のコマンドを入力します。
```
sudo /root/setup_mh 7000
```
3. ルート・パスワードを設定するよう求めるプロンプトが表示されます。次の条件を満たす強いパスワードを設定します。
  - 5 文字以上使用されている
  - スペースが含まれていないこと
  - 特殊文字 @、 #、 ^、および *のうちの 1 つ以上を含みます。
コンソールと同じバージョンの QRadar にデータ・ゲートウェイをアップグレードします。
1. コンソールにログインします。
2. コンソールがある QRadar のバージョンを確認するには、ナビゲーション・メニュー () をクリックしてから、「バージョン情報」をクリックします。
3. コンソールがあるバージョンの QRadar の SFS ファイルを Fix Central (https://www.ibm.com/support/fixcentral) からダウンロードします。
4. ソフトウェア更新の SFS ファイルをデータ・ゲートウェイにコピーします。
5. ssh セッションから切断した場合は、 ssh を使用してデータ・ゲートウェイに再度ログインします。
6. データ・ゲートウェイで、次のコマンドを入力して、SFS ファイルを /storetmp ディレクトリーに移動します。
```
sudo mv <version_number>_QRadar_patchupdate-<full_version_number>.sfs /storetmp
```
7. 次のコマンドを入力して、superuser シェルを開きます。
```
sudo su -
```
8. 以下のコマンドを入力して、 /media/updates ディレクトリーを作成します。
```
mkdir /media/updates
```
9. 次のコマンドを入力して、SFS ファイルをマウントします。
```
mount -o loop -t squashfs /storetmp/<version_number>_QRadar_patchupdate-<full_version_number>.sfs /media/updates
```
10. 次のコマンドを入力して、ソフトウェア更新インストーラーを実行します。
```
/media/updates/installer
```
QRadar on Cloud Self Serve アプリを使用して、データ・ゲートウェイのトークンを生成し、データ・ゲートウェイの IP アドレスを許可リストに登録します。詳しくは、コンソールへのアクセス管理を参照してください。
トークンの受信後、次のようにします。
1. ssh セッションから切断した場合は、 ssh を使用してデータ・ゲートウェイに再度ログインします。
2. 前のステップの後でアプライアンスが再始動されるため、以下のコマンドを入力してスーパーユーザーのシェルを再度開きます。
```
sudo su -
```
3. 断続的な接続に関する既知の問題を軽減するには、新しく追加したデータ・ゲートウェイで以下のコマンドを入力します。
```
mkdir /etc/systemd/system/tunnel-monitor.service.d/; printf "[Service]\nExecStart=\nExecStart=/bin/true\n" > /etc/systemd/system/tunnel-monitor.service.d/override.conf; chmod 644 /etc/systemd/system/tunnel-monitor.service.d/override.conf; systemctl daemon-reload
```
4. データ・ゲートウェイの初期セットアップを終了するために、次のコマンドを入力します。
```
/opt/qradar/bin/setup_qradar_host.py mh_setup interactive -p
```
以下のコマンドを入力して、superuser シェルを終了します。
```
exit
```

次に実行するタスク

データ・ゲートウェイのターゲット・プロセッサーの編集