Google Cloud 에 QRadar Network Insights 설치

Google Cloud에 QRadar Network Insights 를 배치하려면 다음 프로시저를 따르십시오.

가상 어플라이언스가 최소 시스템 요구사항을 충족하는지 확인하십시오..
설치하려는 인스턴스가 달성하려는 플로우 검사 레벨을 지원할 수 있는지 확인하십시오.
Fix Central 또는 Google Cloud 마켓플레이스에서 IBM QRadar SIEM 이미지를 사용하여 QRadar 구성 요소를 설치합니다.
QRadar Console 및 QRadar Network Insights 관리 호스트를 설치하십시오. 플로우 프로세서와 같은 기타 관리 호스트는 선택사항입니다. Google Cloud 에 구성 요소를 QRadar 설치하는 방법에 대한 자세한 내용은 Google Cloud Platform 의 " QRadar7.5.0UP7 가상 어플라이언스 구성" 문서를 참조하십시오.
QRadar Network Insights 관리 호스트를 QRadar Console에 추가하십시오.
플로우 소스를 구성하십시오.
트래픽 미러링 세션을 구성하십시오.
배치가 플로우 데이터를 수신 중인지 확인하십시오.

Google Cloud 에 QRadar Network Insights 를 설치하기 위한 시스템 요구사항

IBM QRadar Network Insights 설치를 준비하려면 가상 어플라이언스가 최소 시스템 요구사항을 충족하는지 확인하십시오.

QRadar Network Insights 인스턴스는 다음 요구사항을 충족해야 합니다.

요구사항	값
프로세서	8개코어 (최소) 팁: 팁: CPU값이 아닌 코어 값을 참조하십시오.
메모리	64GB (최소)
스토리지	QRadar Network Insights 에는 두 개의 EBS 범용 SSD 볼륨이 필요합니다. 1 x 98 GiB (OS및 소프트웨어) 1 x 250 GiB (데이터)
네트워킹	QRadar Network Insights 에는 최소 두 개의 네트워크 인터페이스가 필요합니다. 하나의 관리 인터페이스 (nic0) 하나의 모니터링 인터페이스 (nic1)

OS및 소프트웨어에 대한 98 GiB 볼륨은 QRadar 이미지에 의해 자동으로 구성됩니다. 데이터에 대해 추가 250개의 GiB 볼륨을 수동으로 구성해야 합니다.

경고: 설치 후 스토리지를 늘리거나 인스턴스 작성 후 더 많은 네트워크 인터페이스를 추가할 수 없습니다.

더 큰 컴퓨팅 최적화 (CPU) 머신 유형의 경우 추가 모니터링 인터페이스를 사용하여 인스턴스를 배치할 수 있습니다.

중요: 관리 및 모니터링을 위한 기본 내부 IPv4 주소는 정적 내부 IPV4 주소 (비공유) 여야 합니다.

외부 IPv4 주소는 필요하지 않습니다.

Google Cloud Platform 추가 네트워크 인터페이스는 중복되지 않는 서브넷 IP 범위를 가진 별도의 VPC 네트워크에 위치해야 합니다. 자세한 정보는 다중 네트워크 인터페이스 (https://cloud.google.com/vpc/docs/multiple-interfaces-concepts) 를 참조하십시오.

VPC 네트워크의 모니터링 인터페이스에서 최대 전송 단위 (MTU) 설정을 가장 큰 값인 8896으로 설정하십시오.

Google Cloud Platform 에서 패킷 미러링을 활성화하여 네트워크 트래픽을 IBM QRadar Network Insights 인스턴스로 전달합니다. QRadar Network Insights VM 인스턴스의 기본이 아닌 인터페이스로 트래픽을 전송하도록 패킷 미러링을 구성하십시오. 예를 들어, nic1 또는 nic2입니다. 자세한 정보는 패킷 미러링 사용 (https://cloud.google.com/vpc/docs/using-packet-mirroring) 을 참조하십시오.

VPC 방화벽 규칙

관리 인터페이스에 할당된 VPC에는 QRadar Network Insights 호스트와 QRadar Console 및 추가 플로우 수집기 또는 프로세서 간의 인바운드 SSH, 아웃바운드 NetFlow, 및 메시징 연결을 허용하는 방화벽 규칙이 있어야 합니다.

모니터링 인터페이스에 지정된 VPC 방화벽 정책에는 소스 네트워크에서 미러링된 트래픽을 허용하는 올바른 규칙이 있어야 합니다. 자세한 정보는 패킷 미러링 사용 (https://cloud.google.com/vpc/docs/using-packet-mirroring) 을 참조하십시오.

배치 아키텍처

다음 이미지는 두 개의 QRadar Network Insights 미러 대상을 포함하는 배치의 트래픽 플로우를 표시합니다. 하나의 QRadar Network Insights 인스턴스는 Flow Processor의 플로우 소스로 사용되는 반면, 다른 인스턴스는 QRadar Console에 직접 네트워크 트래픽을 전송합니다.

그림 1. Google Cloud Platform 에 배포된 QRadar Network Insights 예시

설치 참조

다음 스크린샷은 네트워크 성능 구성 및 디스크 섹션이 있는 Google Cloud 콘솔에서 인스턴스 작성 페이지의 고급 옵션 섹션을 표시합니다.

7.5.0 가상 QRadar 어플라이언스 구성 ( UP7 ) Google Cloud Platform

제공된 이미지를 사용하여 Google Cloud Platform ( GCP ) 인스턴스에 IBMQRadar SIEM 가상 어플라이언스를 구성하십시오.

시작하기 전에

타사 클라우드 마켓플레이스에서 배포된 모든 QRadar 인스턴스에 대한 QRadar 소프트웨어 노드에 대한 권한을 획득합니다. 인스턴스를 배포하기 전에 소프트웨어 노드에 대한 권한이 있어야 QRadar. 소프트웨어 QRadar 노드 사용 권한을 취득하려면 영업 QRadar 담당자에게 문의하십시오.

소프트웨어에 QRadar 문제가 있는 경우 IBM® 지원팀에 문의하세요. GCP 인프라에서 문제가 발생하면 GCP 문서를 참조하십시오. IBM 지원팀이 GCP 인프라가 문제의 원인이라고 판단할 경우, GCP 인프라의 근본적인 문제를 해결하기 위해 GCP 으로 지원 요청을 해야 합니다.

중요: 고정 IP 주소를 사용해야 합니다.

중요: DNS 항목은 두 개 이상 가질 수 없습니다. 파일 /etc/resolv.conf 내에 DNS 항목이 두 개 이상 존재할 경우 설치가 QRadar 실패합니다.

데이터 게이트웨이를 설치하는 경우, ( QRadar on Cloudhttps://www.ibm.com/support/knowledgecenter/en/SSKMKU/com.ibm.qradar.doc_cloud/t_hosted_gcp_image.html)를 데이터 QRadar 게이트웨이 설치 Google Cloud Platform 참조하십시오.

프로젝트 이름은 63자를 넘지 않는 FQDN(정규화된 도메인 이름)으로 만듭니다. FQDN은 배치 이름, -vm, 지역, 프로젝트 이름, .internal의 순서로 구성됩니다.
예를 들어, 프로젝트 이름이 abc-stq-xyz인 경우 어플라이언스 배치 이름은, qr-con이고, 구역은 us-east4-c이며, 지역은 c이고, FQDN은 qr-con-vm.us-east4-c.c.abc-stq-xyz.internal입니다. 구역 길이는 10 ~ 25자 사이일 수 있습니다. 구역에 따라 프로젝트 이름 및 배치 이름 사이를 분할하도록 25 ~ 40자 사이로 둡니다.
1단계에서 작성한 프로젝트에서 네트워크 인터페이스를 구성하십시오.
1. Google Cloud Platform > VPC 네트워크 > VPC 네트워크를 클릭하세요.
  _{©2019 Google LLC(권한을 통해 사용). Google 및 Google 로고는 Google LLC의 등록상표입니다.}
2. VPC 네트워크 만들기 옵션을 클릭합니다.
3. 네트워크에 이름을 제공하고, 필요에 따라 설정을 구성하십시오. DNS 서버 정책 필드를 서버 정책 없음으로 설정합니다.
4. 작성을 클릭하십시오.
프로젝트에 SSH 키를 추가합니다. cloud-user 사용자에 대해 키를 작성해야 합니다.
1. Google Cloud Platform > Compute Engine > 메타데이터를 클릭하세요.
  _{©2019 Google LLC(권한을 통해 사용). Google 및 Google 로고는 Google LLC의 등록상표입니다.}
2. SSH 키를 클릭합니다.
3. 편집을 클릭합니다.
4. 항목 추가를 클릭합니다.
5. SSH 키를 입력한 후 cloud-user를 입력하십시오.
6. 저장을 클릭하십시오.

프로시저

QRadar 7.5.0 UP7 가상 어플라이언스 이미지 다운로드: https://www.ibm.com/support/fixcentral/swg/selectFixes?product=ibm%2FOther+software%2FIBM+Security+QRadar+SIEM&fixids=7.5.0-UP7-CMP-GoogleCloud-SingleImage-QRADAR-202309270935&function=fixId&parent=IBM%20Security
1. 이미지와 .sig 파일을 다운로드합니다. 다운로드하는 데 몇 시간이 걸릴 수 있습니다.
2. .sig 파일을 사용하여 다운로드한 이미지의 무결성을 확인합니다. 자세한 내용은 IBM Fix Central 다운로드가 신뢰할 수 있고 코드 서명되었는지 확인하는 방법을 참조하세요.
Google Cloud 이동하여 이미지 파일을 Google Cloud Storage 업로드합니다. 업로드에는 최대 1시간이 소요될 수 있습니다.

주의: 이미지 파일의 이름을 바꾸지 마세요. 이미지 이름을 바꾸면 가져오기가 실패할 수 있습니다.
Google Cloud 셸에서 다음 명령을 실행하여 원시 이미지를 GCP 계정으로 가져옵니다.
```
gcloud compute images create <IMAGE NAME> --project=<GCP PROJECT NAME> --source-uri gs://<BUCKET NAME>/<RAW FILE PATH> --guest-os-features=MULTI_IP_SUBNET,UEFI_COMPATIBLE
```
가져오기 프로세스에는 최대 1시간이 소요될 수 있습니다.
탐색 메뉴 > 컴퓨터 엔진 > 이미지로 이동하여 가져온 이미지를 선택한 다음 인스턴스 생성을 클릭합니다.
완전한 도메인 이름(FQDN)이 63자를 초과하지 않도록 하는 어플라이언스의 배치 이름을 작성하십시오. FQDN은 배포 이름, 영역, 프로젝트 이름 및 .internal 구성됩니다.

예를 들어, 프로젝트 이름이 abc-stq-xyz인 경우 어플라이언스 배치 이름은, qr-con이고, 구역은 us-east4-c이며, 지역은 c이고, FQDN은 qr-con-vm.us-east4-c.c.abc-stq-xyz.internal입니다. 구역 길이는 10 ~ 25자 사이일 수 있습니다. 구역에 따라 프로젝트 이름 및 배치 이름 사이를 분할하도록 25 ~ 40자 사이로 둡니다.
프로젝트가 있는 구역을 선택하십시오.
시스템 요구 사항을 충족하는 머신 유형 선택합니다. 자세한 내용은 가상 어플라이언스를 위한 시스템 요구 사항 참조하세요.
필요한 부팅 디스크 유형을 선택하고 부팅 디스크 크기를 98GB로 설정합니다.
사용자가 작성한 네트워크 인터페이스를 선택하십시오.
신뢰할 수 있는 IP 주소의 포트 22 및 443만 허용하는 어플라이언스의 방화벽 규칙을 설정하여 QRadar 배포에 액세스할 수 있는 IP 주소의 허용 목록을 만드세요.
여러 어플라이언스를 사용하는 QRadar 배포에서는 관리되는 호스트 간에 다른 포트도 허용될 수 있습니다. 배포에서 허용해야 할 포트에 대한 자세한 내용은 QRadar 사용하는 일반 포트 및 서버를 참조하세요.
요청 시 ' GCP 마켓플레이스 서비스 약관에 동의합니다' 필드를 선택하십시오.
배포를 클릭합니다.
방화벽 및 추가 디스크 필드를 설정합니다.
1. Google Cloud Platform > Compute Engine > VM 인스턴스를 클릭하세요.
2. 목록에서 어플라이언스를 선택하십시오.
3. 편집을 클릭합니다.
4. 방화벽 섹션에서 HTTP 트래픽 허용 및 HTTPS 트래픽 허용을 선택합니다.
5. 추가 디스크를 설정합니다.
  - 추가 디스크 섹션에서 새 디스크 추가를 클릭합니다.
  - 디스크 설정 섹션에서 적절한 디스크 유형을 선택합니다.
  - 필요한 스토리지 용량을 예측한 다음 크기를 GiB 단위로 입력합니다. 최소 크기는 GiB.
  - 삭제 규칙 필드에서 디스크 삭제에 체크합니다.
  - 저장을 클릭하십시오.
6. 기본 편집 페이지에서 저장을 클릭합니다.
인스턴스가 준비되면 SSH 키 쌍을 사용하여 다음 명령을 입력하여 로그인합니다:
```
ssh -i <key.pem> cloud-user@<public_IP_address>
```
다음 명령을 입력하여 FQDN의 길이를 확인합니다:
```
hostname -f | wc -c
```
명령이 63보다 큰 값을 반환하면 설치 프로세스가 실패합니다. 더 짧은 배포 이름으로 이 절차를 다시 시작합니다.
다음 명령을 입력하여 인스턴스에 대한 DNS 항목이 2개 이하인지 확인합니다:
```
grep nameserver /etc/resolv.conf | wc -l 
```
명령이 3개 이상의 항목을 반환하는 경우 다음 단계로 진행하기 전에 /etc/resolv.conf 편집하여 두 개를 제외한 모든 항목을 제거합니다. 설치가 완료된 후 항목을 다시 추가할 수 있습니다.

QRadar Console 설치하려면 다음 명령을 입력합니다:

sudo /root/setup <appliance_id>

예를 들어 이벤트 수집기를 배포하려면 다음 명령을 입력합니다:

sudo /root/setup 1599

어플라이언스 유형 ID	어플라이언스 유형
1299	플로우 콜렉터
1400	데이터 콜렉터
1599	Event Collector
1699	Event Processor
1799	Flow Processor
1899	이벤트 및 플로우 프로세서
3199	QRadar SIEM All-in-One (QRadar Console)
4000	QRadar AppHost
6500	QRadar Network Insights
7000	이벤트 콜렉터, 플로우 콜렉터 및 데이터 게이트웨이

admin 계정의 비밀번호를 입력하십시오. 다음 기준을 충족하는 강력한 비밀번호를 설정하십시오.
- 5자 이상의 문자가 포함됨
- 공백 없음
- 특수 문자(@, #, ^ 및 *)가 포함될 수 있음

다음에 수행할 작업

/etc/resolv.conf에서 DNS 항목을 제거한 경우 이를 복원하십시오.

설치 QRadar SIEM All-in-One (QRadar Console) 시 QRadar 인스턴스는 협정 세계시(UTC)를 사용합니다. 인스턴스의 시간대는 변경할 수 있습니다. 표준 시간대 변경에 대한 자세한 내용은 시스템 시간 구성하기를 참조하세요.

이 이미지는 자동 소프트웨어 업그레이드를 수신하지 않습니다. 시스템을 최신 상태로 유지하려면 수동으로 업그레이드해야 합니다. To receive QRadar upgrade notifications, see 업데이트 알림 받기 QRadar 수신.

모든 관리형 호스트(데이터 게이트웨이 제외) 설치에 대해서는 관리형 호스트 추가하기를 참조하세요.

가상 기기를 관리형 호스트로 추가하고 플로우 소스 및 트래픽 미러링을 구성하는 방법에 대한 자세한 내용은 QRadar Network Insights Google Cloud 설치하기를 참조하세요.