Instalando e fazendo upgrade do aplicativo WinCollect em dispositivos QRadar

Para gerenciar uma implementação de agentes do WinCollect a partir da interface com o usuário do QRadar® , deve-se primeiro fazer upgrade do seu QRadar Console para uma versão suportada do WinCollect usando o WinCollect Agent SFS Bundle. Esse pacote configurável inclui os protocolos necessários para ativar a comunicação entre o QRadar e os agentes gerenciados do WinCollect nos hosts do Windows Os agentes do QRadar Console e gerenciados do WinCollect podem ser atualizados para versões mais novas do WinCollect instalando a versão mais recente do SFS Bundle no console do QRadar .

1. Faça download do arquivo de instalação do WinCollect Agent SFS Bundle a partir do website do IBM® : (http://www.ibm.com/support).
   Nota: o processo de instalação reinicia serviços no Console, que cria uma diferença na coleção de eventos até que os serviços sejam reiniciados. Planeje o upgrade do WinCollect durante uma janela de manutenção para evitar interromper usuários.
2. Use SSH para efetuar login no QRadar Console como o usuário raiz.
3. Para instalações iniciais, crie os diretórios /storetmp e /media/updates se não existirem. Digite os comandos a seguir:

   mkdir /media/updates
   mkdir /storetmp

4. Usando um programa como WinSCP, copie o arquivo SFS transferido por download para /storetmp em seu QRadar Console.
5. Para alterar para o diretório /storetmp , digite o seguinte comando: cd /storetmp
6. Para montar o arquivo SFS, digite o comando a seguir: mount -t squashfs -o loop <Installer_file_name.sfs> /media/updates
   Exemplo: mount -t squashfs -o loop 730_QRadar_wincollectupdate-7.3.0-24.sfs /media/updates
7. Para executar o instalador do WinCollect , digite o seguinte comando e, em seguida, siga os prompts: /media/updates/installer
   Nota: para continuar com a atualização do Agente WinCollect , deve-se reiniciar os serviços no QRadar para aplicar atualizações de protocolos. A mensagem a seguir é exibida:

   WARNING: Services need to be shutdown in order to apply patches.
   This will cause an interruption to data collection and correlation.
   Do you wish to continue (Y/N)?

8. Digite Y para continuar com a atualização
   Durante a atualização, o SFS instala novas atualizações de protocolo. Se a sua sessão Secure Shell (SSH) for desconectada enquanto o upgrade estiver em andamento, o upgrade continuará. Ao reabrir sua sessão SSH e executar o instalador novamente, a instalação da correção continuará. Após a conclusão da instalação, os serviços serão reiniciados e a interface do usuário estará disponível.

   Nota: Durante a instalação, a mensagem a seguir é exibida:

   Patch 144249
   This patch includes a new version of the WinCollect Configuration Server.
   For this new version to run properly, the event collection service needs to be restarted.
   If you choose to not restart the service, agents cannot get new configurations and code updates until you restart it.
   
   Choices:
   1. Restart event collection service at the end of the patch installation, on the Console and on all managed hosts patched from the Console.
   2. Do not restart event collection service yet. You will need to restart it in the user interface (Advanced > Restart Event Collection Services).
   3. Abort patch.

   Depois de escolher uma opção, a instalação da correção continuará. Quando estiver completo, pressione a tecla Enter para sair da tela de correção.
9. Se você selecionou a segunda opção na etapa 8, é preciso executar as seguintes etapas:
   • Nas configurações do administrador do QRadar , clique em Avançado > Implementar configuração completa.
   • Nas configurações do administrador do QRadar , clique em Avançado > Reiniciar Serviços de Coleção de Eventos
10. Para desmontar o arquivo SFS do Console, digite o seguinte comando: umount /media/updates
11. Opcional: Verifique se os agentes WinCollect estão configurados para aceitar atualizações remotas:
    1. Efetue login no QRadar.
    2. No menu de navegação, selecione Origens de Dados.
    3. Clique no ícone WinCollect .
    4. Revise a coluna Atualizações automáticas ativadas e selecione os agentes WinCollect que possuem um valor False.
    5. Clique em Ativar / Desativar Atualizações Automáticas.