Surveillance de l'activité réseau
IBM QRadar collecte des informations sur la manière dont les périphériques de votre réseau communiquent entre eux. L'enregistrement de la communication sur le réseau est appelé un flux.
Dans QRadar, les flux apparaissent dans l'onglet Activité réseau et vous devez disposer des droits permettant de les afficher.
Par défaut, l'onglet Activité réseau affiche les flux en mode diffusion en flux. Pour analyser les flux déjà reçus, vous pouvez mettre en pause le mode de diffusion en flux, effectuer des recherches et appliquer des filtres aux flux.
Si vous avez configuré auparavant une recherche sauvegardée par défaut, les résultats de cette recherche sont automatiquement affichés lorsque vous accédez à l'onglet Activité réseau.
Différences entre les événements et les flux
Un événement est un enregistrement d'une activité ayant eu lieu sur votre réseau à un moment défini. Il fournit des informations sur une activité survenue et sur les actifs impliqués. Par exemple, si un utilisateur tente de s'authentifier auprès de votre pare-feu et échoue, le pare-feu envoie un journal système à QRadar. La tentative d'authentification est enregistrée en tant qu'événement. Les informations sur les événements sont affichées dans l'onglet Activité du journal.
Contrairement à un événement, un flux est une activité réseau. L'enregistrement de flux affiche les messages envoyés et reçus par les unités lorsqu'elles communiquent les unes avec les autres sur le réseau. Par exemple, un flux peut s'afficher lorsqu'un utilisateur envoie un message électronique, accède à une page Web, télécharge un fichier ou utilise un réseau social. La demande Web peut télécharger des fichiers, tels des images et des publicités pendant quelques secondes ou durer plusieurs heures si l'utilisateur regarde un film.
En comparaison aux événements, le trafic de flux présente de manière détaillée ce qui se passe sur votre réseau. Il indique ce qui s'est passé avant, pendant ou après l'événement.