Anwendungserkennung
IBM QRadar Network Insights verwendet Inspektoren, um Anwendungen, Sitzungen und Protokolle zu erkennen.
QRadar Network Insights 7.5.0 umfasst Verbesserungen beim Protokoll-Parsing und kann jetzt die Nutzdaten analysieren, um ungefähr 300 weitere Anwendungen als frühere Versionen des Produkts zu identifizieren.
- /opt/ibm/xforce/metadata/protocols.hdr (Spaltenüberschriften)
- /opt/ibm/xforce/metadata/protocols.csv (Werte)
Algorithmen zur Erkennung von Anwendungen
IBM QRadar Network Insights basiert auf einer eigenen Gruppe von Inspectors und Anwendungserkennungsmethoden. QRadar Network Insights Die QFlow -Algorithmen werden nur verwendet, wenn QRadar Network Insights ein bestimmtes Protokoll nicht identifizieren kann.
| Numerischer Wert | Name des Algorithmus | Beschreibung |
|---|---|---|
| 2 | Anwendungssignaturen | Ein nutzdatenbasierter Algorithmus, der betrachtet, wie die Nutzdaten strukturiert sind. Dieser Algorithmus verwendet Informationen aus der Datei signatures.xml. |
| 3 | Zustandsabhängige Decodierung | Ein nutzdatenbasierter Algorithmus, der eine komplexe interne Logik anwendet. |
| 4 | Portbasierte QRadar -Zuordnung | Ein portbasierter Algorithmus, der eine vordefinierte Liste mit Anwendungszuordnungen verwendet. Dieser Algorithmus verwendet Informationen aus der Datei /opt/qradar/conf/appid_map.conf. |
| 5 | Anschlussbasierte Benutzerzuordnung | Ein portbasierter Algorithmus, der eine anpassbare Liste mit Anwendungszuordnungen verwendet. Verwenden Sie diesen Algorithmus, um neue portbasierte Zuordnungen hinzuzufügen oder vorhandene Zuordnungen, die mit QRadargeliefert werden, neu zu klassifizieren. Dieser Algorithmus verwendet Informationen aus der Datei /opt/qradar/conf/user_application_mapping.conf. |
| 6 | ICMP-Protokollzuordnung | Ein protokollbasierter Algorithmus, der den Protokolltyp und -code betrachtet. |
| 7 | Datenflussexportmodul | Ein Algorithmus, der sich zur Ermittlung der Anwendung auf das Datenflussexportmodul stützt. Der Prozess QFlow vertraut beispielsweise von Natur aus Anwendungs-IDs, die von QRadar Network Insightsstammen. |
| 8 | QNI-Anwendungssignaturen | Dieser Algorithmus wird von QRadar Network Insights verwendet. |
| 9 | QNI-Prüfer | Dieser Algorithmus wurde in QRadar Network Insights 7.5.0entfernt. |
| 10 | Klassifizierung der X-Force-Webanwendung | Dieser Algorithmus wird von QRadar Network Insights verwendet. |
| 11 Neu in 7.5.0 |
Heuristik für den QNI-Port | Dieser Algorithmus wird von QRadar Network Insights verwendet. Zeigt an, dass die Anwendung mithilfe der Port-basierten Heuristik identifiziert wird und ein geringes Maß an Verlässlichkeit darstellt. |
| 12. Neu in 7.5.0 |
QNI-Anfangsdaten | Dieser Algorithmus wird von QRadar Network Insights verwendet. Zeigt an, dass die Anwendung durch die Verwendung der Anfangsdaten in der Datenflusssitzung identifiziert wird und ein mittleres Maß an Verlässlichkeit darstellt. |
| 13. Neu in 7.5.0 |
QNI-Parser | Dieser Algorithmus wird von QRadar Network Insights verwendet. Zeigt an, dass die Anwendung durch Analyse der verfügbaren Daten identifiziert wird, und stellt das höchsten Maß an Verlässlichkeit dar. |
