Tipos de componentes de QRadar
QRadar Console
QRadar Console proporciona la interfaz del producto QRadar , vistas de sucesos y flujos en tiempo real, informes, delitos, información de activos y funciones administrativas. En entornos distribuidos, el QRadar Console se utiliza para gestionar los otros componentes del despliegue.
Recopilador de sucesos
El Recopilador de sucesos recopila sucesos de orígenes de registro locales y remotos y normaliza los datos de sucesos sin formato para que los pueda utilizar QRadar. Para conservar los recursos del sistema, el Recopilador de sucesos agrupa sucesos idénticos y envía los datos al Procesador de sucesos.
Procesador de eventos
El Procesador de sucesos procesa sucesos que se recopilan de uno o más componentes de Recopilador de sucesos . Si los sucesos coinciden con las reglas personalizadas definidas en la consola, el Procesador de sucesos sigue la acción definida en la respuesta de la regla.Cada Procesador de sucesos tiene almacenamiento local. Los datos de sucesos se almacenan en el procesador o se pueden almacenar en un Data Node.
QRadar Flow Collector
QRadar Flow Collector recopila flujos de red de dispositivos de la red. Se incluyen canales de información en directo y registrados, como por ejemplo pulsaciones de red, puertos de extensión, NetFlowy registros de flujo de QRadar .
Flow Processor
El Flow Processor procesa flujos de uno o más dispositivos QRadar Flow Collector . El dispositivo Flow Processor también puede recopilar flujos de red externos como NetFlow, J-Flow y sFlow directamente de los routers de su red.
Flow Processors incluyen un procesador incorporado y almacenamiento interno para datos de flujo.
Data Node
El Data Node recibe sucesos de seguridad y flujos de procesadores de sucesos y flujos, y almacena los datos en disco.
Data Node siempre está conectado a un Procesador de sucesos o a un Flow Processor.
Dispositivos de origen y destino externos
Un dispositivo externo es un dispositivo QRadar que no forma parte del despliegue supervisado por QRadar Console.
Un dispositivo de origen externo reenvía datos normalizados a un Recopilador de sucesos. Puede configurar un origen externo para que cifre los datos antes de reenviarlos.
Un dispositivo de destino externo recibe datos de sucesos o flujos normalizados de cualquier Recopilador de sucesoso de cualquier procesador del despliegue.
Las versiones posteriores de sistemas QRadar pueden recibir datos de versiones anteriores de sistemas QRadar , pero las versiones anteriores no pueden recibir datos de versiones posteriores. Para evitar problemas, actualice todos los receptores antes de actualizar los emisores.