Consideraciones de ancho de banda para hosts gestionados

QRadar Depende de la conectividad de red para replicar los datos de estado y configuración y mantener la sincronización en toda la implementación. En entornos distribuidos, el rendimiento de la búsqueda depende de un ancho de banda de red elevado. QRadar implementa técnicas de mejores prácticas para reducir el ancho de banda de red requerido, como compresión y paquetes de replicación personalizados,

Requisitos generales de ancho de banda

Los requisitos generales de ancho de banda se enumeran a continuación:
  • Mínimo 100 Mbps entre la consola y todos los hosts gestionados (excepto los recopiladores de eventos).
  • Se recomienda una red de alta calidad de 1 Gbps para:
    • Consola
    • Procesadores de sucesos
    • Nodos de datos
    • Hosts de aplicación
    • Parejas de alta disponibilidad (HA)

Requisitos de ancho de banda del recopilador de eventos

El ancho de banda del recopilador de eventos depende de los eventos por segundo (EPS) previstos, además de la replicación y la sobrecarga de gestión.

En promedio, excluyendo los gastos generales de gestión:

  • 0.72 Mbps por cada 1000 EPS
  • 7.2 Mbps por cada 10 000 EPS
Puede calcular el ancho de banda necesario utilizando la siguiente fórmula:
EPS × ((average event size + 200 bytes) × 8) / 10,000,000 = Mbps
Por ejemplo, para mantener 1000 EPS con un tamaño medio de evento de 700 bytes, el ancho de banda total necesario es el siguiente:
1000 × ((700 + 200) × 8) / 10,000,000 = 0.7 Mbps

Ancho de banda mínimo requerido para los recopiladores de eventos

QRadar requiere 40 Mbps como requisito razonable de ancho de banda para la gestión del host. Puede calcular el ancho de banda mínimo requerido utilizando la siguiente fórmula:
40 Mbps + calculated EPS-based Mbps value above
Por ejemplo, para mantener 1000 EPS con un tamaño medio de evento de 700 bytes, el ancho de banda de red mínimo total requerido es el siguiente:
40Mbps + 0.7Mpbs = 40.7Mbps

Utilice los métodos siguientes para mitigar las limitaciones de ancho de banda entre centros de datos:

Procese y envíe datos a hosts en el centro de datos primario
Diseñe su implementación para procesar y enviar los datos a medida que se recopilan a los hosts del centro de datos principal donde se encuentra la consola. En este diseño, todas las búsquedas basadas en usuario consultan los datos del centro de datos local en lugar de esperar a que los sitios remotos devuelvan datos.

Puede desplegar un recopilador de sucesos de almacén y reenvío, como un dispositivo físico o virtual QRadar 15XX , en las ubicaciones remotas para controlar las ráfagas de datos en la red. El ancho de banda se utiliza en las ubicaciones remotas y las búsquedas de datos tienen lugar en el centro de datos en vez de en la ubicación remota.

No ejecute búsquedas de datos intensivas a través de conexiones con un ancho de banda limitado
Asegúrese de que los usuarios no ejecutan búsquedas de datos intensivas sobre enlaces que tengan un ancho de banda limitado. Especificar filtros precisos sobre la búsqueda limita la cantidad de datos que se recuperan de las ubicaciones remotas y reduce el ancho de banda necesario para devolver los resultados de la consulta.