Neuerungen für Benutzer in QRadar Network Insights 7.5.0

IBM QRadar Network Insights 7.5.0 bietet Benutzern mehr IBM X-Force Exchange Integration und Verbesserungen bei der Dateitypidentifikation und Anwendungserkennung.

Weitere Informationen zu den neuen Funktionen für Installationsprogramme finden Sie in Neuerungen für Installationsprogramme in QRadar Network Insights 7.5.0.

Erweiterungen für die Datenextraktion

Neu in 7.5.0 Update Package 6

Die folgenden Verbesserungen wurden an Datenextraktionen vorgenommen:
  • MAC-Adressen werden jetzt unterstützt.

    Die aus dem beobachteten Netzverkehr extrahierten MAC-Adressen spiegeln möglicherweise nicht die endgültige MAC-Adresse des Clients oder Servers wider, je nachdem, wie viele Hops zwischen dem Prüfpunkt und den Endpunkten vorhanden sind.

  • Die HTTP Request URL -Eigenschaft enthält nun die vollständigen Argumente, die in der URL aufgeführt sind.

    Zum Beispiel wurden in früheren Versionen von QRadar Network Insights die Argumente von URL nicht extrahiert; www.ibm.com/docs/en/qsip/7.5. Jetzt ist dieselbe URL -Extraktion vollständiger; www.ibm.com/docs/en/qsip/7.5?topic=installations-whats-new-in-qradar-network-insights.

    Wenn Sie benutzerdefinierte Regeln verwenden, die davon ausgehen, dass die Argumente nicht in der URL enthalten sind, müssen Sie diese aktualisieren.

Konfigurierbare IBM X-Force -Signaturrichtlinien

Neu in 7.5.0 Aktualisierungspaket 5

Jetzt können Sie das PAM (Protocol Analysis Module) aktualisieren, um zu konfigurieren, welche IBM X-Force -Signaturrichtlinien gemeldet werden.

Sie können PAM aktualisieren, um eine vorkonfigurierte Richtlinie zu verwenden, oder Sie können eine Richtlinie für einzelne Signaturen konfigurieren. Sie können auch die Art und Weise ändern, wie QRadar Network Insights über Angriffe und Audits berichtet.

Neue Informationen Weitere Informationen zur IBM X-Force -Signaturberichterstellung ...

SIP-Inspector (Session Initiation Protocol) entfernt

Neu in 7.5.0 Aktualisierungspaket 3

IBM QRadar Network Insights überprüft den SIP-Datenverkehr nicht mehr.

Neue Informationen Weitere Informationen zu den Typen von Prüfern, die in QRadar Network Insightsunterstützt werden ...

Leistungsverbesserungen für die Appliance QRadar Network Insights 6500

Neu in 7.5.0 Aktualisierungspaket 1
QRadar Network Insights 7.5.0 Update Package 1 -Softwareinstallationen und Installationen virtueller Appliances (Appliancetyp 6500) verwenden jetzt die DPDK-Bibliothek, um Netzverkehr auf Appliances zu erfassen, die eine der folgenden Netzschnittstellen verwenden:
  • Intel x520
  • Intel x710
  • VMware vmxnet3

Die DPDK-Bibliothek bietet eine bessere Leistung als die Bibliothek PF_RING, die in früheren Versionen von QRadar Network Insightsverwendet wird. Netzschnittstellenkarten, die DPDK verwendet, sind für das Betriebssystem nicht sichtbar. Sie müssen DPDK-Dienstprogramme verwenden, um mit diesen Schnittstellen zu arbeiten.

Napatech-basierte Appliances verwenden eine andere Bibliothek zur Verarbeitung von Netzdaten, sodass sie von dieser Änderung nicht betroffen sind.

Neue Informationen Weitere Informationen zur Prüfstufenleistung in QRadar Network Insights...

Geänderter Prozess zum Identifizieren von Dateitypen

Neu in 7.5.0 Aktualisierungspaket 1

Frühere Versionen von QRadar Network Insights haben die Tika-Bibliothek Apache verwendet, um den Dateityp zu identifizieren, aber nur auf der erweiterten Inspektionsstufe.

QRadar Network Insights 7.5.0 Aktualisierungspaket 1 verwendet eine andere Bibliothek zum Identifizieren von Dateitypen und führt die Identifikation auf allen Inspektionsstufen als Teil des Hauptprozesses für die Datenverkehrsinspektion durch.

Mit dieser Änderung werden weniger Dateien zur Analyse an die Apache Tika-Bibliothek gesendet, was zu einer verbesserten Leistung auf der erweiterten Inspektionsstufe führen kann. Individuelle Leistungsverbesserungen hängen vom Volumen und Typ der Dateien ab, die zur Analyse gesendet werden.

Neue Informationen Weitere Informationen zur Prüfstufenleistung in QRadar Network Insights...

Mehr Integration mit IBM® X-Force®

QRadar Network Insights 7.5.0 führt eine neue Reihe von Beschreibungen verdächtiger Inhalte ein, die von IBM X-Force -Signaturen abgeleitet werden. Wenn ein Datenfluss einer oder mehreren der X-Force-Signaturen entspricht, wird die Beschreibung des verdächtigen Inhalts auf der Registerkarte Netzaktivität angezeigt.

Außerdem werden in diesem Release einige Eigenschaften im Fenster Datenflussinformationen direkt in IBM X-Force Exchange integriert. Mit einem einzigen Klick können Sie schnell feststellen, ob der Eigenschaftswert weitere Untersuchungen erfordert.

Neue Informationen Weitere Informationen zur Integration von IBM X-Force in QRadar Network Insights...

Verbesserte Anwendungserkennung

QRadar Network Insights 7.5.0 enthält Verbesserungen beim Protokoll-Parsing und kann jetzt die Nutzdaten analysieren, um 300 weitere Anwendungen zu identifizieren. Im Vergleich dazu können Protokollinspektoren in QRadar Network Insights 7.4.3 32 Anwendungen identifizieren.

Nach Abschluss des Upgrades zeigen Sie diese Dateien an, um die vollständige Liste der Anwendungen zu sehen, die identifiziert werden können:
  • /opt/ibm/xforce/metadata/protocols.hdr (Spaltenüberschriften)
  • /opt/ibm/xforce/metadata/protocols.csv (Werte)

Neue Informationen Weitere Informationen zur Anwendungserkennung in QRadar Network Insights...

Einige Inspektoren werden nicht mehr unterstützt.

IBM QRadar Network Insights 7.4.3 hat die Einstellung der Unterstützung für die folgenden Prüfer angekündigt:
  • Alle Webdomäneninspektoren
  • Myspace-Protokollinspektor
  • SPDY-Protokollinspektor

Diese Prüfer wurden in IBM QRadar Network Insights 7.5.0entfernt.

Neue Informationen Weitere Informationen zu den Typen von Prüfern, die in QRadar Network Insightsunterstützt werden ...