Datenflussquellen

IBM QRadar kann Datenflüsse von vielen verschiedenen Typen von Datenflussquellen empfangen. Die Datenflussquellen werden als interne oder externe Datenflussquellen eingestuft.

Neu in 7.5.0 Aktualisierungspaket 7 Verwenden Sie die /api/config/flow_sources/flow_source_management/ -API, um Informationen zu den Datenflussquellen in Ihrer Umgebung anzuzeigen, wie z. B. die Konfigurationsparameter, die für die Datenflussquelle konfiguriert sind und von denenQRadar Network Insights als Ziel fungiert. Die API ist schreibgeschützt und Sie können sie nicht zum Ändern der Datenflussquelleninformationen verwenden.

Interne Datenflussquellen

Interne Datenflussquellen erfassen unaufbereitete Pakete aus Netz-TAP-Geräten oder aus einem SPAN- oder Mirror-Port, der mit einer Napatech- oder Netzschnittstellenkarte verbunden ist. Diese Quellen stellen unformatierte Paketdaten bereit, wie sie im Netz angezeigt werden, und senden sie an einen Überwachungsport auf einem QRadar -Datenflusscollector, der die Paketdaten in Datenflussdatensätze konvertiert.

In internen Datenflussquellen können mehrere Threads verwendet werden. QRadar behält nicht die gesamten Paketnutzdaten bei. Stattdessen werden nur einige der Pakete seit Beginn der Kommunikation erfasst. Diese Momentaufnahme wird als Nutzdatenerfassung oder als Inhaltserfassung bezeichnet.

Abb. 1. Paketaufzeichnung aus einer internen Datenflussquelle
Die Abbildung zeigt eine Textansicht der Netzkommunikation, die aus einer internen Datenflussquelle erfasst wurde.

Externe Datenflussquellen

QRadar unterstützt auch externe Datenflussquellen, wie z. B. Router, die allgemeine Netzüberwachungsprotokolle wie NetFlow, IPFIX-, sFlow J-Flow-und Packeteer -Daten senden.

Diese externen Datenflussquellen können einen anderen Grad an Sichtbarkeit als interne Datenflussquellen bereitstellen. Beispielsweise können NetFlow -Datensätze sowohl die Routerschnittstelle, die die Pakete überschritten haben, als auch die ASN-Datensatznummern des Ursprungsnetzes bereitstellen. Bei der Verwendung von IPFIX können zusätzliche Felder, die nicht in normalisierte Felder analysiert werden, als Name/Wert-Paare in die Nutzdaten eingefügt und anschließend als benutzerdefinierte Eigenschaften verwendet werden.

Externe Quellen erfordern nicht so viel CPU-Auslastung für die Verarbeitung, sodass Sie sie direkt an einen Flow Processorsenden können. In dieser Konfiguration können Sie einen dedizierten Datenflusskollektor wie auch einen Datenflussprozessor einsetzen, die beide Datenflussdaten empfangen und erstellen.

Abbildung 2: Paketaufzeichnung aus einer externen Datenflussquelle
Die Abbildung zeigt eine Textansicht der Netzkommunikation, die aus einer externen Datenflussquelle erfasst wurde.