Größe der Datenerfassung von Rohnutzdaten konfigurieren

Sie können IBM QRadar Network Insights verwenden, um unformatierte Nutzdaten zu extrahieren.

Die Maximale Rohnutzdatengröße für jede Appliance wird aus den globalen QRadar Network Insights -Einstellungen übernommen.

Informationen zu dieser Task

Bei der Erstinstallation wird IBM QRadar Network Insights so konfiguriert, dass maximal 64 Byte Rohnutzdaten erfasst werden. Wenn Sie die Erfassung von Nutzdaten stoppen möchten, setzen Sie die Maximale Rohnutzdatengröße auf 0.

Wenn Sie die globale Einstellung ändern, wird der neue Wert von allen QRadar Network Insights -Appliances übernommen, die für die Verwendung der globalen Einstellung konfiguriert sind. Die aktualisierte Einstellung wird auch auf neue Appliances angewendet, die Sie nach der Änderung der Einstellung hinzufügen.

Für QRadar Network Insights -Appliances vom Typ 6200, 6600 und 6610 können Sie die globalen Einstellungen überschreiben, indem Sie angepasste Einstellungen für Maximale Rohnutzdatengröße konfigurieren. Nachdem eine Appliance für die Verwendung einer angepassten Einstellung konfiguriert wurde, ist sie nicht mehr von Änderungen an der globalen Einstellung betroffen. Wenn Sie wünschen, dass eine Appliance wieder die globale Einstellung verwenden soll, müssen Sie die Hostverbindung bearbeiten und den Wert von Maximale Rohnutzdatengröße auf Global setzen.

Hinweis:

Sie können die Rohnutzdatengröße auf bis zu 32.768 Bytes erhöhen, allerdings können umfangreichere Nutzdaten die Leistung beeinträchtigen. Passen Sie die Bytegröße in kleinen Schritten an und überwachen Sie die Plattenkapazität, um sicherzustellen, dass die Platte nicht schnell überfrachtet wird.

Wenn die maximale Größe der unformatierten QRadar Network Insights -Nutzdaten größer als die QFlow -Inhaltserfassungslänge ist, können einige Nutzdaten abgeschnitten werden. Stellen Sie sicher, dass die QFlow -Erfassung größer-gleich der QRadar Network Insights -Nutzdatengröße ist. Weitere Informationen zu Datenflüssen finden Sie unter Datenflussquellen.

Vorgehensweise

Melden Sie sich bei QRadar als Administrator an.
Führen Sie folgende Schritte aus, um die globalen Einstellungen zu konfigurieren:
1. Klicken Sie auf der Registerkarte Verwaltung auf Systemeinstellungen.
2. Klicken Sie auf QRadar Network Insights Einstellungen.
3. Wählen Sie unter Maximale Rohnutzdatengrößedie maximale Datenmenge aus, die Sie erfassen möchten.
  
  Wenn Sie die Erfassung von Nutzdaten inaktivieren möchten, setzen Sie die Maximale Rohnutzdatengröße auf 0.
  
  Appliances, die eine angepasste Einstellung für Maximale Rohnutzdatengröße verwenden, sind von Änderungen an der globalen Einstellung nicht betroffen. Sie müssen die angepassten Appliances einzeln konfigurieren.
4. Klicken Sie auf Speichern.
Gehen Sie wie folgt vor, um die Einstellungen für einzelne QRadar Network Insights -Appliances zu konfigurieren:
1. Klicken Sie auf der Registerkarte Verwaltung auf System-und Lizenzverwaltung.
2. Wählen Sie das Gerät aus, das Sie ändern wollen und klicken Sie dann auf Implementierungsaktionen > Hostverbindung bearbeiten.
3. Definieren Sie den Datenflusscollector und die Datenflussquellenverbindung und klicken Sie auf Speichern.
4. Geben Sie die Maximale Rohnutzdatengröße für die Appliance an.
  
  Appliances, die für die Verwendung einer angepassten Einstellung für Maximale Rohnutzdatengröße konfiguriert sind, sind von künftigen Änderungen an der globalen Einstellung nicht betroffen.
5. Klicken Sie auf Weiter und dann auf Speichern.
Klicken Sie in der Menüleiste der Registerkarte Verwaltung auf Erweitert > Vollständige Konfiguration implementieren.

Warnung: Wenn Sie die vollständige Konfiguration implementieren, starten die QRadar -Services erneut. In dieser Zeit werden weder Ereignisse und Datenflüsse erfasst noch Angriffe generiert.
Aktualisieren Sie den Web-Browser.