Anwendungs-ID
Der QFlow -Prozess verwendet Algorithmen, um die Ablaufanwendung festzulegen. Jeder Algorithmus stützt sich auf unterschiedliche Arten von Informationen, um die Anwendung zu erkennen.
IBM QRadar Network Insights basiert auf einer eigenen Gruppe von Inspectors und Anwendungserkennungsmethoden. QRadar Network Insights Die QFlow -Algorithmen werden nur verwendet, wenn QRadar Network Insights ein bestimmtes Protokoll nicht identifizieren kann.
| Numerischer Wert | Name des Algorithmus | Beschreibung |
|---|---|---|
| 2 | Anwendungssignaturen | Ein nutzdatenbasierter Algorithmus, der betrachtet, wie die Nutzdaten strukturiert sind. Dieser Algorithmus verwendet Informationen aus der Datei signatures.xml. |
| 3 | Zustandsabhängige Decodierung | Ein nutzdatenbasierter Algorithmus, der eine komplexe interne Logik anwendet. |
| 4 | Portbasierte QRadar -Zuordnung | Ein portbasierter Algorithmus, der eine vordefinierte Liste mit Anwendungszuordnungen verwendet. Dieser Algorithmus verwendet Informationen aus der Datei /opt/qradar/conf/appid_map.conf. |
| 5 | Anschlussbasierte Benutzerzuordnung | Ein portbasierter Algorithmus, der eine anpassbare Liste mit Anwendungszuordnungen verwendet. Verwenden Sie diesen Algorithmus, um neue portbasierte Zuordnungen hinzuzufügen oder vorhandene Zuordnungen, die mit QRadargeliefert werden, neu zu klassifizieren. Dieser Algorithmus verwendet Informationen aus der Datei /opt/qradar/conf/user_application_mapping.conf. |
| 6 | ICMP-Protokollzuordnung | Ein protokollbasierter Algorithmus, der den Protokolltyp und -code betrachtet. |
| 7 | Datenflussexportmodul | Ein Algorithmus, der sich zur Ermittlung der Anwendung auf das Datenflussexportmodul stützt. Der Prozess QFlow vertraut beispielsweise von Natur aus Anwendungs-IDs, die von QRadar Network Insightsstammen. |
| 8 | QNI-Anwendungssignaturen | Dieser Algorithmus wird von QRadar Network Insights verwendet. |
| 9 | QNI-Prüfer | Dieser Algorithmus wurde in QRadar Network Insights 7.5.0entfernt. |
| 10 | Klassifizierung der X-Force-Webanwendung | Dieser Algorithmus wird von QRadar Network Insights verwendet. |
| 11 Neu in 7.5.0 |
Heuristik für den QNI-Port | Dieser Algorithmus wird von QRadar Network Insights verwendet. Zeigt an, dass die Anwendung mithilfe der Port-basierten Heuristik identifiziert wird und ein geringes Maß an Verlässlichkeit darstellt. |
| 12. Neu in 7.5.0 |
QNI-Anfangsdaten | Dieser Algorithmus wird von QRadar Network Insights verwendet. Zeigt an, dass die Anwendung durch die Verwendung der Anfangsdaten in der Datenflusssitzung identifiziert wird und ein mittleres Maß an Verlässlichkeit darstellt. |
| 13. Neu in 7.5.0 |
QNI-Parser | Dieser Algorithmus wird von QRadar Network Insights verwendet. Zeigt an, dass die Anwendung durch Analyse der verfügbaren Daten identifiziert wird, und stellt das höchsten Maß an Verlässlichkeit dar. |
Individuelle Anwendungen
Wenn Ihr Unternehmen keine Standardanwendungen oder angepasste Anwendungen hat, können Sie sie den /opt/qradar/conf/user_application_mapping.conf- oder signatures.xml-Dateien hinzufügen.
Im Feld Algorithmus für Anwendungsbestimmung können Sie überprüfen, ob der korrekte Algorithmus zur Ermittlung Ihrer angepassten Anwendungen verwendet wurde. Sie können beispielsweise eine angepasste Anwendung auf Basis der Portnutzung definieren. Datenflüsse aus dieser Anwendung werden durch den Algorithmus 5 ermittelt, also Portbasierte Benutzerzuordnung. Durch die Überprüfung des Algorithmus, mit dem die Anwendung ermittelt wird, können Sie der Anwendungszuordnung eine Zuverlässigkeit zuweisen.
Weitere Informationen finden Sie unter Neue Anwendungen definieren und Standardanwendungen im Handbuch IBM QRadar -Anwendungskonfiguration.