Dispositifs QRadar Network Packet Capture regroupés

Utilisez la fonction de regroupement QRadar® Network Packet Capture pour regrouper plusieurs dispositifs physiques afin de former une entité logique unique pour l'administration et la recherche. A l'aide de la fonction de regroupement, plusieurs points de contact et plusieurs dispositifs QRadar Network Packet Capture sont accessibles et fonctionnent comme s'il s'agissait d'un seul dispositif.

Un groupe QRadar Network Packet Capture peut capturer des données à partir de taps réseau distincts. Vous devez configurer tous les dispositifsQRadar Network Packet Capturepour accéder à tous les membres du groupe QRadar Network Packet Capture sur l'interface réseau de gestion et le réseau doit disposer d'un serveur DNS.

Lorsque vous regroupez des QRadar Network Packet Capture dispositifs, vous pouvez rechercher toutes les données de membres de groupe avec une seule requête de données. Le résultat de la recherche est un fichier PCAP qui contient les données fusionnées de tous les membres de groupe.

Pour accéder au groupe dans son intégralité, il vous suffit de vous connecter à un de ses membres. A partir de cette connexion unique, vous pouvez communiquer par proxy avec tous les autres membres du groupe QRadar Network Packet Capture .

La fonctionnalité de proxy est principalement destinée à l'administration, à la configuration et au débogage des serveurs Dispositifdistants. Si une recherche est lancée sur l'ensemble du groupe alors que l'utilisateur se trouve sur un dispositifQRadar Network Packet Capture distant via la méthode proxy, une quantité importante de trafic redondant est transmise sur le réseau de gestion. Cela a des conséquences sur les performances d'extraction des données, selon la largeur de bande disponible et le temps de latence du réseau de gestion. Par conséquent, les recherches couvrant un groupe QRadar Network Packet Capture doivent toujours être lancées sur la machine principale ou locale, sans concentrateur ni proxy.