유스 케이스: 대규모 POS(Point of Sale) 수집
고객이 각 소매점에서 모든 POS(Point of Sale) 디바이스로부터 Windows 보안 이벤트 로그를 수집해야 합니다.
아키텍처
- 디바이스 수
- 4,500개 POS 디바이스
- 소매점
- 500개(매장당 최대 9개 POS)
- QRadar 배치
- 1개 콘솔, 2개 이벤트 콜렉터
가시성
소매점 외부에서 POS 디바이스의 가시성 없음
옵션 1 - 로컬 소매점 도메인 컨트롤러에 대한 POS 가시성
- 제안된 솔루션
- 로컬 소매점 도메인 컨트롤러에 대한 POS 가시성.
- 장점
- POS 디바이스는 작동 및 작동 중지할 수 있으며, GPO 업데이트를 수신하면 WEF 콜렉터로 이벤트 전송을 시작합니다. GPO를 구성하면 매장 POS 디바이스를 관리하지 않아도 됩니다.
- 단점
IT 그룹은 WEF가 구성되었고 작동하는지 확인하기 위해 500개 WEF 콜렉터 서버를 모니터해야 합니다.
- 각 소매점에 대해 GPO를 구성해야 합니다. 각 POS가 올바른 WEF 콜렉터를 가리키는지 확인해야 합니다.
WEF는 도메인 컨트롤러에 구성되어야 합니다.
옵션 1a - 소매점 외부에서 POS 가시성
- 제안된 솔루션
- Windows Event Forwarding - 원격 WEF 서버.
- 장점
- POS 디바이스는 작동 및 작동 중지할 수 있으며, GPO 업데이트를 수신하면 WEF 콜렉터로 이벤트 전송을 시작합니다. GPO를 구성하면 매장 POS 디바이스를 관리하지 않아도 됩니다.
- 모든 소매점에서 트래픽을 처리하도록 1개 WEF 콜렉터를 구성할 수 있습니다. 콜렉터는 1만 개 엔드포인트를 처리할 수 있습니다. 고객은 지원되는 1만 개 EPS보다 EPS 비율이 높지 않은지 검증해야 합니다.
- 1개 서버에서 로그를 수집하여 문제를 해결하십시오.
- 단점
- POS 디바이스에는 소매점 외부에서 가시성이 필요합니다.
옵션 2 - 각 POS 디바이스에 설치된 WinCollect 에이전트
여기에는 WinCollect를 "Golden Base Image"의 일부로 만드는 옵션이 포함됩니다. 이를 통해 언제라도 고객은 새 레지스터를 스핀업하고
이벤트를 전송하도록 WinCollect를 구성 및 준비할 수 있습니다. 이 옵션을 사용하려면 에이전트를 POS 디바이스에 설치하여
소매점에서 QRadar 어플라이언스에 대한 가시성을 확보하거나
소매점 위치 외부에서 QRadar 이벤트 프로세서/콜렉터에 대한 가시성을 확보해야 합니다.
- 제안된 솔루션
- PPOS당 WinCollect 에이전트.
- 장점
- WinCollect 이미지 작성의 초기 작업을 완료한 후 POS 디바이스의 온라인 및 오프라인 설정은 표준 프로세스의 일부입니다.
- 각 POS 디바이스에 에이전트를 설치하는 데 필요한 관리는 없습니다.
- 단점
- 문제를 해결하기 위해 POS에서 로그를 수집하는 데 시간이 걸릴 수 있습니다.
- WinCollect 에이전트를 새 버전으로 업데이트하려면 새 테스트와 기본 이미지 업데이트가 필요합니다.
옵션 3 - 매장의 로컬 도메인 컨트롤러 또는 서버에 설치된 WinCollect 에이전트
이 서버에 QRadar에 대한 가시성이 있으면 관리 모드로 설치할 수 있습니다. 그러면 각 POS 디바이스를 원격 폴링하도록 에이전트를 구성할 수 있습니다. 500개의 소매점이 존재하는 경우 고객은
콘솔 및 이벤트 콜렉터/프로세서로 구분하여 관리 모드에서 각각의 에이전트를
설치할 수 있습니다. 솔루션 관리는 꽤 까다로울 수 있으며, 새 POS를 온라인 및 오프라인으로 설정할 때 많은 유지보수가 필요합니다.
- 제안된 솔루션
- WinCollect 에이전트 원격 폴링 POS.
- 장점
- QRadar Console에서 에이전트를 관리합니다.
- 수집하는 이벤트와 필터링하는 데이터를 쉽게 변경할 수 있습니다.
- 단점
- 고객은 에이전트가 원격 폴링되는 POS 디바이스를 추가/제거할 책임이 있습니다. 소매 볼륨이 높은 기간에 이러한 책임은 더 늘어납니다.