Niveles de inspección de flujo
El nivel de inspección de flujo determina cuántos datos se analizan y extraen de los flujos de red y si se analiza el contenido del archivo individual. IBM QRadar Network Insights inspecciona la carga útil completa de cada paquete independientemente del nivel de inspección de flujo que se haya configurado.
De forma predeterminada, el nivel de inspección de flujo es un valor global que se configura en Valores del sistema en la pestaña Admin . Se aplica a todos los dispositivos del despliegue. Para los dispositivos IBM QRadar Network Insights 6200, 6600 y 6610, puede alterar temporalmente el valor global configurando un nivel de inspección de flujo personalizado para cada dispositivo.
En una configuración apilada, cada pila puede tener un nivel de inspección diferente, pero todos los dispositivos de una pila deben tener el mismo nivel de inspección.
Nivel de inspección básico
El nivel Básico es el nivel más bajo de inspección de flujo. Este nivel soporta el mayor ancho de banda, pero genera la menor cantidad de información.
Los atributos que QRadar Network Insights captura utilizando el nivel de inspección de flujo básico son similares a los que obtiene de un direccionador o conmutador de red que no realiza una inspección en profundidad de paquetes. Incluye los siguientes tipos de información:
- Información de origen y destino
- Protocolo de red
- ID de aplicación
- Contadores de bytes y paquetes
- Hora del primer y último paquete
- Calidad de servicio
- Etiquetas de VLAN
En el nivel de inspección Básico , QRadar Network Insights crea un flujo de datos que captura información sobre la comunicación de red. El flujo de datos incluye ejemplos de carga útil y muestra los contadores de tamaño de bytes y paquetes. El nivel de inspección Básico recopila la misma información que el proceso de QRadar QFlow .
Nivel de inspección enriquecido
Con el nivel de inspección enriquecido, cada flujo es identificado e inspeccionado por uno de los inspectores de protocolo o dominio, y se pueden generar muchos tipos de atributos a partir de esa inspección.
- Nombres de usuario, direcciones de correo electrónico, ID de conversación
- Argumentos de búsqueda
- Información de host
- HTTP, FTP, SMTP, SSH, SSL y TLS campos
- Consultas y respuestas de DNS
- Información de túnel de VXLAN, GRE o ERSPAN
- Nombre de archivo, tipo, tamaño, hash y entropía
- Último proxy, XFF, True Client IP
- Contenido sospechoso
- Categorías web
- Contenido sospechoso basado en contenido configurable (reglas YARA)
En los niveles de inspección Enriquecido y Avanzado , QRadar Network Insights crea flujos de datos y flujos de contenido. El flujo de contenido muestra lo que se ha encontrado dentro del flujo de datos con el nivel más profundo de inspección. Los flujos de contenido no incluyen ejemplos de carga útil, y todos los contadores de bytes y paquetes aparecen como cero. Se enlazan con el flujo de datos mediante el campo ID de flujo .
Puede identificar flujos de contenido de las formas siguientes:
- En la ventana Información de flujo, el campo Tipo de flujo muestra Flujo estándar (flujo de contenido).
- En el separador Actividad de red, la ayuda contextual del icono Tipo de flujo muestra Flujo estándar (flujo de contenido).
Nivel de inspección avanzado
La inspección avanzada es el nivel más alto de inspección. A través de un análisis exhaustivo del contenido del archivo transferido, se basa en los atributos de flujo que se extraen en el nivel de inspección enriquecido.
- Extracción de contenido
- Detección de información personal
- Detección de datos confidenciales
- Scripts incorporados
- Redirecciones
- Metadatos de archivo adicionales
El nivel de inspección avanzado también realiza análisis de contenido, lo que puede producir más valores de contenido sospechoso que el nivel Enriquecido. Por ejemplo, cuando se establece en el nivel de inspección Avanzado , QRadar Network Insights busca en profundidad en los archivos para identificar contenido sospechoso como, por ejemplo, scripts incorporados en documentos PDF o Microsoft.
De forma similar al nivel enriquecido, se crea un flujo de contenido para mostrar lo que QRadar Network Insights ha encontrado al realizar el nivel más profundo de inspección del flujo de datos.