페어링 구성

페어링 구성은 하이브리드 또는 부분 페어링 구성에서 사용되는 데이터 동기화 앱 기능입니다. 해당 사이트는 메인 사이트에서만 접근 가능하며, 해당 사이트가 활성화된 경우에만 접근할 수 있습니다.

페어링 구성이 필요한 이유는 무엇인가요?

하이브리드 구성에서는 사용자가 메인 사이트의 특정 관리 대상 호스트(MH)만을 대상 사이트의 해당 관리 대상 호스트와 페어링합니다. 활성화 과정에서 페어링되지 않은 관리 대상 호스트는 자동으로 대상 사이트로 이전됩니다.

메인 사이트와 대상 사이트 간에 관리되는 호스트를 페어링하려면, 양측 사이트 모두 호스트 ID, 서버 호스트 ID가 일치해야 하며 동일한 호스트 매핑 구조를 가져야 합니다. 이러한 값들 간의 불일치는 복원 과정을 방해할 수 있습니다.

복원 중 문제를 방지하기 위해 시스템은 초기 페어링 구성 시 사용자에게 대상 사이트와 페어링해야 하는 모든 관리 대상 호스트를 선택하도록 안내합니다. 이 과정에서 시스템은 선택된 호스트 간의 호환성을 검증하며, 필요한 경우 대상 사이트 호스트를 메인 사이트 호스트와 일치하도록 업데이트합니다.

하이브리드 설정에서 페어링 구성은 초기 설정을 완료한 후 반드시 수행해야 하는 첫 번째 단계입니다. 페어링 구성 프로세스는 추가 작업을 수행하기 전에 반드시 성공적으로 완료되어야 합니다. 페어링 구성이 성공적으로 완료된 후에만 페어링 버튼이 활성화됩니다.

비즈니스 룰

Business Rules 사용자가 시스템 및 라이선스 관리 내에서 구성한 내부 호스트 매핑을 기반으로 동일 사이트 관리 호스트 그룹 매핑을 정의합니다.

예
메인 사이트에는 다음과 같은 9개의 관리 대상 호스트가 있습니다:
  • 이벤트 수집기 - EC1
  • 이벤트 수집기 - EC2
  • 이벤트 프로세서 - EP1
  • 이벤트 프로세서 - EP2
  • 플로우 콜렉터 - FC1
  • 플로우 콜렉터 - FC2
  • 플로우 프로세서 - FP1
  • 플로우 프로세서 - FP2
  • 데이터 노드 - DN

사용자가 EC1 을 EP1 와 매핑하고 EP1 을 DN과 매핑할 때, EC1 은 EP1 로, EP1 은 DN으로 매핑됩니다. 따라서 세 개의 관리형 호스트( EC1, EP1, DN)는 단일 그룹으로 취급되며, 이를 비즈니스 규칙이라 부릅니다.

사용자가 FC1 와 FC2 를 모두 FP1 로 매핑할 경우, FC1 는 FP1 로, FC2 는 FP1 로 연결됩니다. 따라서, 세 개의 관리형 호스트( FC1, FC2, FP1 )는 함께 '비즈니스 규칙'으로 지칭되는 관리형 호스트 그룹을 구성합니다.

참고: 앱에서 QRadar® Data Synchronization 페어링 구성 시, 주 사이트와 대상 사이트에서 선택한 호스트가 동일한 비즈니스 규칙 유형을 공유하는 경우에만 호스트 선택이 허용됩니다.

시작하기 전에

  • 페어링 구성을 시작하기 전에 주 사이트와 대상 사이트 모두를 구성해야 합니다.
  • 대상 사이트에 관리되는 호스트가 없는 경우, 데이터 동기화 앱을 콘솔 전용 모드로 구성하십시오.
  • 두 사이트 모두에서 동일한 관리 대상 호스트 세트가 사용 가능한 경우, 1:1 호스트 매핑을 사용하여 데이터 동기화 앱을 구성하십시오.

프로시저

  1. 페어링 구성 중에, 해당 메인 사이트 호스트와 페어링할 대상 사이트 호스트를 선택하십시오.
    참고: 양 사이트에 걸쳐 통합 관리 호스트 그룹 QRadar 구조를 검증하여 호환 가능한 대상 사이트 호스트를 자동으로 식별하거나 필터링합니다. 대상 사이트 호스트를 선택하면 동일한 그룹 내의 모든 관련 호스트가 자동으로 채워집니다. 메인 사이트 이벤트 수집기로 대상 사이트 이벤트 수집기가 선택된 경우, 메인 사이트와 대상 사이트의 매핑된 이벤트 프로세서가 자동 선택되어 변경할 수 없습니다. 호스트 선택은 메인 사이트와 대상 사이트 모두에서 선택된 호스트가 동일한 비즈니스 규칙 유형 또는 관리되는 호스트 그룹 구조를 공유할 때만 허용됩니다.
  2. 대상 사이트와 페어링할 원하는 호스트를 선택한 후, 선택한 각 대상 사이트 호스트의 비밀번호를 입력하십시오.
  3. 선택을 완료한 후 매핑 유효성 검사를 클릭하십시오. 시스템은 선택된 호스트 쌍 매핑을 검증하기 위해 메인 사이트 호스트의 호스트 ID와 서버 ID를 해당 대상 사이트 호스트와 비교합니다.
    • 호스트 쌍에서 호스트 ID와 서버 ID 불일치가 감지된 경우, 대상 사이트의 호스트 ID 또는 서버 ID(추가 또는 삭제)를 해당 메인 사이트 호스트와 일치시키기 위한 업데이트가 필요합니다. 이러한 업데이트는 페어링 구성 프로세스의 다음 단계로 호스트 활동에서 수행됩니다.
    • 호스트 ID 또는 서버 ID에서 불일치가 발견되지 않으면 페어링 구성이 성공적으로 완료됩니다.
페어링 구성이 완료되면 페어링 버튼이 활성화되어 사용자가 호스트 간 실제 페어링을 수행할 수 있습니다. 페어링 구성 과정에서 선택된 호스트만 페어링이 가능합니다. 또한 페어링 설정 버튼은 이제 페어링 설정 재설정으로 변경됩니다. 사용자는 페어링 설정 재설정 버튼을 사용하여 언제든지 페어링 설정을 재설정할 수 있습니다.
참고: 페어링 구성을 완료한 후에는 관리 대상 호스트 그룹 매핑(비즈니스 규칙)을 수정하지 마십시오. 복원 실패로 이어질 수 있습니다. 활성화 전에 변경이 필요한 경우 페어링 설정을 재설정하고 페어링 설정 절차를 다시 완료하십시오.

비즈니스 규칙 검증

페어링 구성 중에 업데이트 비즈니스 규칙 또는 관리되는 호스트 그룹 매핑과 관련된 유효성 검사가 있는 경우 다음 단계를 완료하십시오:
  1. 개방형 시스템 및 라이선스 관리
  2. 매핑을 수정하려는 관리 대상 호스트를 선택한 후 배포 작업 을 클릭하십시오.
  3. 호스트 연결 편집을 클릭한 다음 드롭다운 목록에서 매핑할 관리 대상 호스트를 선택하십시오.
  4. 수정 작업을 완료한 후 변경 사항을 배포하십시오.
  5. 업데이트 후 앱을 QRadar Data Synchronization 열고 페어링 설정을 재설정한 다음 페어링 설정 화면을 다시 엽니다.

호스트 활동

호스트 활동 프로세스에서 대상 사이트의 모든 호스트가 먼저 삭제됩니다. 페어링 구성 중에 선택된 호스트는 대상 사이트에 다시 추가되어 메인 사이트의 호스트와 호스트 ID 및 서버 ID를 동기화합니다.

다음 단계는 호스트 활동 프로세스의 일부로 자동으로 수행됩니다:
  • 데이터 수집 – 시스템은 대상 사이트에서 관리되는 모든 호스트에 대한 정보를 수집합니다.
  • 유휴 – 프로세스가 대기열에 등록되어 시작을 기다리고 있습니다.
  • 삭제 – 대상 사이트의 기존 관리 대상 호스트가 하나씩 제거됩니다.
  • 추가 – 선택된 대상 사이트 호스트는 메인 사이트의 해당 호스트 ID 및 서버 ID를 사용하여 다시 추가됩니다.
  • 연결 – 대상 사이트에서 이전 구성과 일치하도록 내부 관리 호스트 그룹 매핑(비즈니스 규칙)이 재설정됩니다.
  • 배포 – 배포는 데이터 동기화 앱에서 트리거됩니다.
  • 완료됨 – 프로세스가 완료되었습니다. 완료를 클릭하여 마칩니다.
어떤 이유로든 작업이 실패할 경우, 시스템은 최대 세 번까지 자동으로 해당 작업을 재시도합니다.
참고: 작업이 완전히 완료될 때까지 양쪽 사이트에서 어떠한 작업도 수행하지 마십시오.
페어링 구성 과정에서 선택되지 않은 대상 호스트는 삭제되며, 호스트 활동 프로세스 중 다시 추가되지 않습니다

호스트 활동의 페어링 구성 중, 자동 삭제 또는 추가 활동이 최대 재시도 횟수 3회 모두 실패할 경우, 사용자는 해당 알려진 문제에 대한 API를 사용하여 특정 호스트를 DT460869 수동으로 삭제하거나 추가해야 합니다.

관리 대상 호스트가 수동으로 삭제되거나 추가되면 데이터 동기화 앱이 자동으로 업데이트된 세부 정보를 가져와 페어링 구성 프로세스를 계속 진행합니다.
참고: UI의 QRadar 호 스트 추가/삭제 기능 옵션에서 호스트를 삭제하거나 추가하지 마십시오. 이 옵션은 새로운 시퀀스 ID를 가진 호스트를 추가하며, 이는 페어링 구성에 문제를 일으킬 수 있습니다. 따라서, 특정host_id알려진 문제에서 DT460869.