VMware Kullanarak Local Ortamda QRadar 7.5.0 Community Edition Kurulum Adımları

VMware Kullanarak Local Ortamda QRadar 7.5.0 Community Edition Kurulum Adımları

Bu yazı altında QRadar Community Edition nasıl kurulur ve bu adımları gerçekleştirirken ne gibi sorunlarla baş başa kaldım, sorunları aşmak için neler yaptım gibi durumları sizlerle paylaşmak için yazmaktayım. Hedefim yapmış olduğum iş ile ilgili kendimi geliştirmek, hatalarımın ve eksiklerimin olduğu nokta olabilir. Sunumu okuyan insanların fikir ve sorularına açığım.

QRadar Kurulum ortamı olarak VMware kullanacağım ve yapmış olduğum işlemleri adım adım göstereceğim.

İlk olarak https://www.ibm.com/community/101/qradar/ce/ IBM’ in sağlamış olduğu linkten QRadar ISO dosyasını indiriyoruz.

İndirme işlemi tamamlandıktan sonra VMware üzerinden kurulum adımlarına geçebiliriz.

“Create a New Virtual Machine” kısmından kurulum adımını başlatıyoruz.

Karşımıza iki türlü kurulum seçeneği çıkıyor; 1-Typical 2-Custom

“Custom” seçeneğini seçiyoruz ve ilerliyoruz.

Bu seçeneği seçtiğimiz takdirde görselde de görüldüğü üzere VMware “Easy Installer” moduna geçiyor. Biz diğer seçeneği seçerek ilerleyeceğiz.

Bu seçeneği seçmemizin sebebi kurulumunu yapacağımız bilgisayarın özelliklerini, hangi işletim sistemini kullanacağını biz seçeceğiz. Bu seçimleri yapıp bilgisayarımızı hazır hale getirdikten sonra yüklemek istediğimiz işletim sistemi veya ortamı kendimiz yükleyeceğiz. Yani bu seçenek bize bir bütün olarak verilmiş olan lego parçaları değil de ihtiyacımıza göre lego parçaçıklarından bizim bir bütün oluşturmamızı sağlıyor diyebiliriz.

“I will install the operating system later” seçeneğini seçiyoruz. Bu seçeneği seçtikten sonra karşımıza hangi işletim sistemi üzerine kuracağımıza dair bir seçim ekranı geliyor.

Yukarıdaki görselde de bize ipucu verilmişti. QRadar kurarken Red Hat Enterprise Linux 8 -64 bit seçeneğini seçiyoruz. Eğer ki kullanacağınız ortamın hangi işletim sistemi üzerinden çalışacağı konusunda emin değilseniz ufak bir Google yardımı ya da yüklemesini gerçekleştireceğiniz ortam/sistemin “Requirements” kısmından bu bilgiyi edinebilirsiniz.

Bu kısımda sanal makinemizin ismini ve kurulum yapmak istediğimiz dosya yolunu seçiyoruz. Ben default olarak VMware’ nin sağlamış olduğu dosya yolunu kullanıyorum ve sanal makinemin ismini de “QRadar Community Edition” olarak değiştiriyorum. Eğer ki farklı bir yol seçmek isterseniz bu kısımdan ayarlarınızı değiştirebilirsiniz.

Burada sanal makinemizin işlem gücünü belirliyoruz. Local ortamda test amaçlı bir kurulum gerçekleştirdiğimiz için 4 çekirdek bizim için yeterli olacaktır.

Karşımıza RAM boyut seçim ekranı geliyor. Test/Lab ortamları için 8–12 GB RAM yeterli olur. Sistem yeterliliğinize göre daha fazla seçebilirsiniz fakat daha düşük RAM, QRadar gibi SIEM ürünlerinin daha düşük performans sergilemesine sebebiyet verir.

Burada Bridge modu seçiyoruz. Çünkü QRadar kurulumunu yapacağımız sanal makinenin network ortamımızda bağımsız bir cihaz olarak görünmesini istiyoruz. Bu durumda sanal makinemiz gerçek bir bilgisayar/sunucu gibi davranır. Sanal makinemizin ağda kendi IP adresi olur, ağda bulunan diğer cihazlar QRadar sanal makinemizi görebilir, log gönderebilir ve QRadar, network trafiğini izleyebilir.

Burada, sanal makinenin diskine nasıl ulaşacağını, yani bilgisayar ile disk arasındaki en iyi yolu seçiyoruz. Önerilen seçeneği seçmek, her şeyin uyumlu ve sorunsuz çalışmasını sağlar.

QRadar gibi güvenlik ürünlerinin kurulumu sırasında, en uyumlu disk tipi olan SCSI seçilirse disk hemen tanınır ve ‘yetersiz alan’ gibi hatalar azalır. Diğer disk tipleri, bazı kurulumlarda görünmeyebilir veya desteklenmeyebilir.

Yeni bir sanal makine kurarken, genellikle yepyeni ve temiz bir disk oluşturmak en güvenlisidir. Eski disk kullanmak ya da gerçek bilgisayar diskini bağlamak, özel durumlar ve ileri seviye kullanıcılar içindir.

QRadar Community Edition sistem gereksinimleri kısmında ayırmamız gereken disk boyutunun 250 GB olması gerektiği belirtilmiş.Bu yüzden biz de minimum disk boyutunu baz alarak 250 GB alan ayırıyoruz.“Split virtual disk into multiple files” seçeneği otomatik olarak seçili gelecektir. Şu an için böyle kalmasının bizim için bir sakıncası olmayacaktır.

Kurulumun son aşamasına geldik artık. Burada oluşturulan sanal diskin nerede ve hangi isimle saklanacağı konusunda seçenek sunuluyor. Şu aşamada bunu değiştirmemizi gerektirecek bir durum yok. O yüzden olduğu gibi kalabilir.

Kurulumumuzu tamamladık ve artık ilk başta indirmiş olduğumuz ISO dosyasını seçerek kurulumumuza başlayabiliriz.

Bu adımlardan sonra artık sanal makinemizi başlatabiliriz. QRadar kurulumunu gerçekleştirebiliriz.

Sanal makinanın herhangi bir yerine tıklayıp “Enter” tuşuna basabilirsiniz. Bunu yapmadığınız takdirde kendisi 60 saniye içinde otomatikmen ilk seçenekten ilerliyor olacaktır.

Bu adımlardan sonra QRadar kurulum işlemleri başlamış bulunmakta. Bu adımdan sonra bizim müdahale edebileceğimiz alanlar gelene dek kendimizi biraz bekleme moduna alıyoruz :) Kurulum sürecinde yeniden

“root” kullanıcı adıyla giriş yaptıktan sonra bu ekran karşımıza çıkıyor. Burada bulunan Lisans Sözleşmesini kabul ederek kaldığımız yerden devam edebiliriz.

“q” tuşuna basarak direkt olarak Lisans Sözleşmesinin en alt kısmına gelebiliriz. “yes” yazıp ve “enter” tuşlayarak sözleşmeyi kabul edip kaldığımız yerden devam edebiliriz.

“Appliance Install” seçili olarak gelecektir fakat bu seçenek IBM tarafından QRadar donanımı sağlandığı ve daha kurumsal ortamlarda kurulum yapılırken seçilecek bir seçenek. Fakat biz lab ortamı oluşturuyoruz ve bu yüzden “Software Install” seçeneğini seçmemiz gerekiyor. Yani bu seçeneği seçerek “Donanımı ben hazırladım, yazılımı da ben kurmak istiyorum” demek istiyoruz.

All-In-One Console seçeneği, QRadar’ın tüm özelliklerini tek bir makinede toplar. Test, eğitim, küçük ofis veya laboratuvar ortamı için idealdir. Büyük kurumsal yapılarda ise roller ayrı ayrı sunuculara dağıtılır.

Sıfırdan kurulum yapmış olduğumuz için Normal Setup kısmını seçip devam ediyoruz. Yedeklerden döndürmemiz gereken ya da bozulmuş sistemi kurtarmak gibi bir amacımız yok.

Manuel olarak saat tarih ayarlamamız yeterli. Büyük kurumlarda, böyle bir durumda NTP server kullanmalıyız fakat lab ortamı için buna ihtiyacımız yok.

Bu kısımda kullanım olarak yaygın olunduğu bilinen IPv4 seçeneğini seçerek ilerliyoruz.

QRadar’ın yönetimi için kullanılacak ağ arayüzünü (network interface) seçiyoruz. Genelde tek arayüz varsa onu seçiyoruz.

Bu bilgileri ayarlamamızın sebebi, QRadar’ın ağda doğru IP adresiyle, doğru makine adıyla, doğru gateway üzerinden çıkabilmesi ve ağdaki diğer cihazlarla düzenli iletişim kurabilmesidir. Ev ortamında esnek davranabiliriz, ama kurumsal ortamda adres, isim ve gateway önceden planlanmalı ve güvenlik/güvenilirlik için dokümante edilmelidir. Böylece ağda kimse kaybolmaz ve iletişim düzenli olur.

Burada hem kurmuş olduğumuz sanal makinemizde “root” hesabı için hem de Web arayüzünde “admin” hesabı için erişeceğimiz parolamızı belirlemiş olacağız.

Kurulumumuz tamamlandı. Artık QRadar dashboard ekranına erişebiliriz.

QRadar Community Edition ile kendi local ortamımızda nasıl kurulum yapacağımızı adım adım ilerleyerek açıklamaya çalıştım. Başta da belirtmiş olduğum üzere hedefim işim üzerine kendimi geliştirmek; bu nedenle fikir ve önerilerinize açığım.

Bu süreç sayesinde hem QRadar SIEM kurulumundaki teknik ayrıntıları, hem de uygulamada karşılaşılabilecek pratik detayları öğrenmiş olduk.

Artık QRadar üzerinden log toplama, olay analizi, alarm üretme ve güvenlik yönetimi gibi ileri seviye işlemler için hazırız. Bu çalışmanın ilerleyen aşamalarında, gerçek log kaynakları ekleyip kendi kurallarımızı yazmayı ve güvenlik olaylarını yönetmeyi planlıyorum.