QRadar 어플라이언스에서 WinCollect 애플리케이션 설치 및 업그레이드

QRadar® 사용자 인터페이스에서 WinCollect 에이전트의 배치를 관리하려면 먼저 WinCollect 에이전트 SFS번들을 사용하여 QRadar 콘솔을 지원되는 버전의 WinCollect 로 업그레이드해야 합니다. 이 번들에는 Windows 호스트에서 QRadar 와 관리 WinCollect 에이전트 간의 통신을 가능하게 하는 데 필요한 프로토콜이 포함되어 있습니다. QRadar 콘솔 및 관리 WinCollect 에이전트 모두 QRadar 콘솔에 새 버전의 SFS번들을 설치하여 새 버전의 WinCollect 로 업그레이드할 수 있습니다.

1. IBM® 웹 사이트 ( (http://www.ibm.com/support)) 에서 WinCollect 에이전트 SFS번들 설치 파일을 다운로드하십시오.
   참고: 설치 프로세스는 콘솔에서 서비스를 다시 시작하며, 이는 서비스가 다시 시작될 때까지 이벤트 콜렉션에 갭을 작성합니다. 사용자를 방해하지 않도록 유지보수 창에서 WinCollect 업그레이드를 스케줄하십시오.
2. SSH를 사용하여 QRadar 콘솔에 root 사용자로 로그인하십시오.
3. 초기 설치의 경우, /storetmp 및 /media/updates 디렉토리가 없으면 이를 작성하십시오. 다음 명령을 입력하십시오.

   mkdir /media/updates
   mkdir /storetmp

4. WinSCP와 같은 프로그램을 사용하여 다운로드한 SFS 파일을 QRadar 콘솔의 /storetmp 에 복사하십시오.
5. /storetmp 디렉토리로 변경하려면 다음 명령을 입력하십시오. cd /storetmp
6. SFS 파일을 마운트하려면 다음 명령을 입력하십시오. mount -t squashfs -o loop <Installer_file_name.sfs> /media/updates
   예제: mount -t squashfs -o loop 730_QRadar_wincollectupdate-7.3.0-24.sfs /media/updates
7. WinCollect 설치 프로그램을 실행하려면 다음 명령을 입력한 후 프롬프트를 따르십시오. /media/updates/installer
   참고: WinCollect 에이전트 업데이트를 진행하려면 QRadar 에서 서비스를 다시 시작하여 프로토콜 업데이트를 적용해야 합니다. 다음 메시지가 표시됩니다.

   WARNING: Services need to be shutdown in order to apply patches.
   This will cause an interruption to data collection and correlation.
   Do you wish to continue (Y/N)?

8. Y 를 입력하여 업데이트를 계속하십시오.
   업데이트 중에 SFS가 새 프로토콜 업데이트를 설치합니다. 업그레이드가 진행 중인 동안 보안 쉘(SSH) 세션의 연결이 끊어지면 업그레이드가 계속됩니다. SSH 세션을 다시 열고 설치 프로그램을 다시 실행하면 패치 설치가 재개됩니다. 설치가 완료되면 서비스가 다시 시작되고 사용자 인터페이스를 사용할 수 있습니다.

   주: 설치 중에 다음 메시지가 표시됩니다.

   Patch 144249
   This patch includes a new version of the WinCollect Configuration Server.
   For this new version to run properly, the event collection service needs to be restarted.
   If you choose to not restart the service, agents cannot get new configurations and code updates until you restart it.
   
   Choices:
   1. Restart event collection service at the end of the patch installation, on the Console and on all managed hosts patched from the Console.
   2. Do not restart event collection service yet. You will need to restart it in the user interface (Advanced > Restart Event Collection Services).
   3. Abort patch.

   옵션을 선택하면 패치 설치가 계속됩니다. 완료되면 Enter키를 눌러 패치 화면을 종료합니다.
9. 8단계에서 두 번째 옵션을 선택한 경우 다음 단계를 수행해야 합니다.
   • QRadar 관리 설정에서 고급 > 전체 구성 배치를 클릭하십시오.
   • QRadar 관리 설정에서 고급 > 이벤트 콜렉션 서비스 다시 시작을 클릭하십시오.
10. 콘솔에서 SFS 파일을 마운트 해제하려면 다음 명령을 입력하십시오. umount /media/updates
11. 선택사항: WinCollect 에이전트가 원격 업데이트를 채택하도록 구성되었는지 확인하십시오.
    1. QRadar에 로그인하십시오.
    2. 탐색 메뉴에서 데이터 소스를 클릭하십시오.
    3. WinCollect 아이콘을 클릭하십시오.
    4. 자동 업데이트 사용 컬럼을 검토하고 False값이 있는 WinCollect 에이전트를 선택하십시오.
    5. 자동 업데이트 사용/사용 안함을 클릭하십시오.