QRadar DataNode追加

## DataNodeとは

- ストレージ容量および検索処理能力を追加するために、既存のProcessorに構築することが可能となるQRadarアプライアンスです。
- Processorに追加することができるデータ・ノード数に制限はありません。
- データ・ノードは、必要に応じてオンデマンドで追加することができます。

データ・バランシング – QRadar処理能力を最大限に活用
- ログ・データは、Processorから自動的に分散され、(Processor自身を含む) 全てのデータノードに配信されます。
- 新しいデータノードが追加されると、自動的に初期分散され、以後はバランスしながら分散します。
データ・ノードを追加することにより、パフォーマンスとストレージ向上の恩恵を受け、既存構成の拡張を可能にします。

## DataNodeインストール(ESXI）
※インストールには2時間ほどかかります
1. IBM [FIX Central](https://www.ibm.com/support/fixcentral/) からIOSファイルをダウンロードします。
1. ダウンロードしたIOSファイルをブートします。
1. Appliance Installで"Appliance Install(Purchased as an appliance)"を選びNextを押します
![1.AssignApplianceTypeByFunctionality.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/ea360f8c-6bd2-67e0-1d01-596d37ce8c73.png)
1. "DataNode1400" を選びNextを押します。
![2.Non-SoftwareApplianceAssignment.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/a3c0d10d-0352-fa13-20bf-e79db24c071a.png)
1. "normal"を選びNextを押します。
![3.TypeOfSetup.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/945a4147-3bbe-0a98-4b81-8574f9aabe56.png)
1. Select Continent/Areaで"Asia"を選びNextを押します。
![4.SelectContinent.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/448431da-b98f-4ac7-b48c-9d4ad884728f.png)
1. TimeZoneで"Tokyo"を選びNextを押します。
![5.TimeZone.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/8bb7540e-4f25-bc52-67e1-141af9b50d9d.png)
1. Internet Protocol Setupでipv4になっていることを確認しNextを押します。
また、NIC冗長する場合には、Choose Internet Configuration modeを"Yes"に変更します。
![6.InternetProtocol.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/3824393b-4d32-a631-0f9b-211f9acf293d.png)
1. Bondinng Interface Setupにて束ねるNICを選びます。
[Bonding Option](https://www.ibm.com/docs/en/qsip/7.4?topic=management-configuring-network-interfaces)は、mode=1だとActive backupでmode=4だとSwitchと連動させてLACPのリンクアグリゲーションを作ることも可能です。その他のモードは以下の通り。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/477539a0-7af7-9583-d2f1-a2fe21fbdd02.png)

![7.BondingInterface.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/92668448-cb5b-820b-2228-093c63a437f6.png)

2.  Hostnameを入力します。FQDNでないとエラーになります。IPアドレス、NetMaskとDNSを入力します。Nextを押します。
![9masked_NetworkInformationSetup.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/d5a6aac5-f7ee-3b19-f3bb-55f080a740f0.png)


1. Root password を入力してNextを押します。
![9.RootPasswordSetup.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/46af18b2-9d48-8f84-f9fb-ff3f7a064913.png)
1. 以下の画面が出たらOKを押します。
![10.complete.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/45007afa-1f89-1a01-7f2a-1559b8bcb510.png)

## DataNodeの接続
1. QRadarのAdminメニューからAdd Managed Hostを押します。
![11.maskedAddManagedHost.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/86d3a3ca-9a0e-d949-b860-5003606a1c1b.png)
1. 画面が遷移します。ここでサービス再起動が発生します。
QRadarとDataNodeがHttpsやSSH接続でつながり、Databaseシンクやモジュールインストール等が裏で行われます。
![12.maskedAddManagedHost.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/be80ed3a-4293-d824-33df-e01dd86dbfb8.png)

1. 接続するイベント・プロセッサを選択して保存します。
![13.maskedAddManagedHost.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/26dde5fb-9f09-6bf4-2582-5fcd31f81fe3.png)
1. DataNodeが増えたこと確認します。
![14.maskedAddManagedHost.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/a434a175-4b1a-4135-8da0-41187c5f9179.png)
1. ライセンス部分を確認します。
![15.maskedAddManagedHost.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/41115ecb-02e9-b41d-6218-c4d52e3d3946.png)
1. デプロイを行います。
![16.maskeddeployment.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/d5df0e93-5b49-8065-5462-73bbb557bda2.png)
1.　続行を押します。ここでサービス再起動が発生します。
![17masked.deployment.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/0776b65b-8b29-64e6-659c-35589e06399d.png)
1. データのリバランシングが起こり、DataNodeのディスクが使用開始されます。
![18.maskeddataRebalance.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/847c23da-b53f-a412-0c95-97a73cae3c50.png)


![19.maskeddataRebalance.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/90509e37-30ef-812a-d257-2db09893884a.png)

## その他
QRadar DataNodeにはガチガチのFirewallルール(iptables)が定義されています。QRadarコンソール＜＞DataNodeしかアクセスができません。
セキュリティリスクを考慮して以下のようにルールを追加します。


(DataNode)#iptables -I INPUT 1 -p tcp -m tcp --dport 22 -j ACCEPT
※こちらは一時的な措置でOS再起動すると消えます。