Datenflussaggregation

IBM QRadar kombiniert Informationen miteinander, um Ihnen weitere Informationen zu einem einzelnen Datenfluss zu geben, ohne weitere Datenflussdatensätze zu senden. Dieser Prozess wird als Aggregation bezeichnet.

Der Datenfluss zeigt eine Kommunikationssitzung zwischen zwei Hosts an, indem die Paketattribute in einen Datenflussdatensatz normalisiert werden, der die folgenden Informationen enthält:
  • Quellen-IP-Adresse
  • Quellenport
  • Ziel-IP-Adresse
  • Zielport
  • Protokoll
  • Datenfluss-ID (abhängig von der Datenflussquelle)
  • ID der Datenflussquellendomäne (Neu in 7.5.0 Update Package 7)
  • VLAN-Felder (abhängig von der Datenflussquelle)
  • VXLAN-Felder (abhängig von der Datenflussquelle)

Während die Kommunikation der Hosts fortgesetzt wird, werden Informationen wie z. B. der Byte- und Paketzähler sowie die Erfassung der Nutzdaten in einem einzelnen Datenflussdatensatz zusammengefasst. Bei Kommunikationen, die mehr als 1 Minute umfassen, berichtet QRadar am Ende jedes einminütigen Intervalls über die aktuellen Metriken für den Datenfluss. Die gesamte Kommunikationssitzung wird durch mehrere Datenflussdatensätze mit dem gleichen Wert für die Uhrzeit des ersten Pakets dargestellt, wobei die Werte für die Zeit des letzten Pakets sich erhöhen.

Wenn die Attribute identisch sind, werden die Datenflussinformationen aktualisiert. Wenn mindestens ein Attribut geändert wurde, wird angenommen, dass es sich um einen eindeutigen Datenfluss handelt, und es wird ein neuer Datenflussdatensatz erstellt.