Supervisión de la actividad de red
IBM QRadar recopila información sobre la forma en que los dispositivos de la red se comunican entre sí. El registro de la comunicación tal cual tiene lugar en la red, se denomina flujo.
En QRadar, los flujos aparecen en la pestaña Actividad de red y debe tener permisos para verlos.
De forma predeterminada, la pestaña Actividad de red muestra flujos en modalidad continua. Para analizar flujos que ya hayan sido recibidos, puede poner en pausa la modalidad de secuenciamiento, y realizar búsquedas y aplicar filtros a flujos.
Si antes se ha configurado como predeterminada una búsqueda guardada, el resultado de dicha búsqueda se visualizará de forma automática cuando se acceda a la pestaña Actividad de red.
Diferencia entre sucesos y flujos
Un suceso es un registro de una actividad que se produce en su red en un momento concreto. Proporciona información sobre una actividad que ha tenido lugar y los activos implicados. Por ejemplo, si un usuario intenta autenticarse en el cortafuegos y no lo hace correctamente, el cortafuegos envía un registro del sistema a QRadar. El intento de autenticación se registra como un suceso. La información sobre sucesos se puede ver en la pestaña Actividad del registro.
Al contrario de un suceso, un flujo es la actividad de red que tiene lugar en el tiempo. El registro del flujo muestra los mensajes enviados y recibidos a través de la red por los dispositivos en su comunicación entre sí. Por ejemplo, un flujo podría mostrar cuándo un usuario envía un correo electrónico, accede a una página web, descarga un archivo o utiliza una red social. La solicitud web podría descargar archivos, como imágenes y anuncios, durante unos segundos, o bien podría tratarse de varias horas, si el usuario está viendo una película.
En comparación con los sucesos, el tráfico del flujo proporciona una visión completa de lo que sucede en la red. El flujo muestra lo que sucede antes, durante y después de que se produzca el suceso.