Agregación de flujo

IBM QRadar combina información para proporcionarle más información sobre un único flujo sin enviar más registros de flujo. Este proceso se conoce como agregación.

Mientras los host se siguen comunicando, la información como los contadores de bytes y de paquetes, y la captura de la carga útil se agrega en un único registro de flujo. Para las comunicaciones que abarcan más de 1 minuto, QRadar informa sobre las métricas actuales para el flujo al final de cada intervalo de 1 minuto. La sesión de comunicación completa se representa mediante varios registros de flujo que tienen el mismo Tiempo del primer paquete, pero con los valores Tiempo del último paquete incrementales.

Si los atributos son iguales, se actualiza la información de flujo. Cuando cambia uno o más atributos, se presupone que el flujo es único, y se crea un nuevo registro de flujo.