Inspektionsstufe für Datenflüsse konfigurieren

Die Flussinspektionsstufe bestimmt, wie viele Daten aus den Netzflüssen analysiert und extrahiert werden. Jede Einstellung einer Inspektionsstufe für Datenflüsse bietet einen noch genaueren Einblick und extrahiert mehr Inhalte als die vorhergehenden Stufen.

Informationen zu dieser Task

In der folgenden Tabelle wird der Unterschied zwischen den einzelnen Inspektionsstufen erläutert:

Tabelle 1. Flussinspektionsstufen
Inspektionsstufe für Fluss	Beschreibung
Basis	Niedrigste Inspektionsstufe. Datenflüsse werden nach 5-Tupel erkannt und die Bytes und Pakete, die in jede Richtung fließen, werden gezählt.
Aufbereitet	Jeder Datenfluss wird von einem der Protokoll- oder Domänenprüfer identifiziert und überprüft. Aus dieser Überprüfung können viele Arten von Attributen generiert werden.
Erweitert	Die Standardeinstellung. Die höchste Inspektionsstufe. Datenflüsse unterliegen strengeren Prozessen zur Inhaltsextraktion. Dazu gehören beispielsweise das Scannen und Prüfen des gefundenen Inhalts der Dateien.

Standardmäßig wird die Datenflussinspektionsebene für jede Einheit von der globalen Einstellung übernommen, die in den Systemeinstellungen auf der Admin-Seite definiert ist. Wenn Sie die globale Einstellung ändern, wird der neue Wert von allen QRadar Network Insights -Appliances übernommen, die für die Verwendung der globalen Einstellung konfiguriert sind. Dazu gehören auch neue Appliances, die Sie nach der Änderung der Einstellung hinzufügen.

Für die Appliances QRadar Network Insights 6200, 6600 und 6610 können Sie die globale Einstellung überschreiben, indem Sie für jede Appliance eine angepasste Inspektionsstufe für Datenflüsse konfigurieren.

In einer gestapelten Konfiguration kann jeder Stapel eine andere Inspektionsstufe für Datenflüsse haben, aber alle Appliances innerhalb eines Stapels müssen dieselbe Inspektionsstufe aufweisen.

Vorgehensweise

Melden Sie sich bei QRadar als Administrator an.
Um die globale Einstellung für alle Appliances zu konfigurieren, gehen Sie wie folgt vor:
1. Klicken Sie auf der Registerkarte Verwaltung auf Systemeinstellungen.
2. Klicken Sie auf QRadar Network Insights Settings.
3. Wählen Sie unter Inspektionsstufe für Datenflüssedie Datenflussrate aus.
4. Klicken Sie auf Speichern.
Für Appliance-Typen 6200, 6600 und 6610 können Sie die Inspektionsstufe für Datenflüsse für die einzelne Appliance konfigurieren.
1. Klicken Sie auf der Registerkarte Verwaltung auf System-und Lizenzverwaltung.
2. Wählen Sie das Gerät aus, das Sie ändern wollen und klicken Sie dann auf Implementierungsaktionen > Hostverbindung bearbeiten.
3. Legen Sie den Datenflusskollektor und die Datenflussquellenverbindung fest und klicken Sie auf Speichern.
4. Geben Sie die Inspektionsstufe für Datenflüsse für die Appliance an.
5. Klicken Sie auf Weiter und dann auf Speichern.
Klicken Sie in der Menüleiste der Registerkarte Verwaltung auf Erweitert > Vollständige Konfiguration implementieren.

Warnung: Wenn Sie die vollständige Konfiguration implementieren, starten die QRadar -Services erneut. In dieser Zeit werden weder Ereignisse und Datenflüsse erfasst noch Angriffe generiert.
Aktualisieren Sie den Web-Browser.

Nächste Schritte

Implementieren Sie den QRadar Network Insights -Prozessor.