Configuration de la taille de capture des données utiles brutes

Vous pouvez utiliser IBM QRadar Network Insights pour extraire des données de contenu utile brutes.

La Taille maximale du contenu brut de chaque dispositif est héritée des paramètres globaux QRadar Network Insights .

A propos de cette tâche

Lors de l'installation initiale, IBM QRadar Network Insights est configuré pour capturer un maximum de 64 octets de données utiles brutes. Pour ne plus capturer ces données, réglez la Taille maximale du contenu utile brut à 0.

Lorsque vous modifiez le paramètre global, la nouvelle valeur est héritée par tous les dispositifs QRadar Network Insights configurés pour utiliser le paramètre global. Le paramètre mis à jour est également appliqué aux nouveaux dispositifs que vous ajoutez après la modification du paramètre.

Pour les dispositifs QRadar Network Insights 6200, 6600 et 6610, vous pouvez remplacer les paramètres globaux en configurant des paramètres Taille maximale du contenu brut personnalisés. Dès lors qu'un dispositif est configuré avec une valeur particulière, il n'est plus affecté par d'éventuels changements appliqués au paramètre global. Si vous voulez qu'il utilise à nouveau le paramètre global, vous devez éditer sa connexion d'hôte et régler Taille maximale du contenu utile brut sur Global.

Remarque :

Vous pouvez augmenter la taille de contenu brut jusqu'à 32 768 octets, mais sachez que les contenus volumineux risquent d'impacter les performances. Ajustez la taille par petits incréments et surveillez la capacité du disque afin que celui-ci ne se remplisse pas trop rapidement.

Si la taille de la charge brute maximale QRadar Network Insights est supérieure à la longueur de capture de contenu QFlow , certaines charges peuvent être tronquées. Vérifiez que la taille de la capture QFlow est identique ou supérieure à la taille de la charge QRadar Network Insights . Pour plus d'informations sur les flux, voir Sources de flux.

Procédure

  1. Connectez-vous à QRadar en tant qu'administrateur.
  2. Pour configurer les paramètres globaux, suivez ces étapes :
    1. Dans l'onglet Admin , cliquez sur Paramètres système.
    2. Cliquez sur QRadar Network Insights.
    3. Dans Taille maximale du contenu brut, sélectionnez la quantité maximale de données à capturer.

      Pour mettre hors fonction la capture des données de contenu, réglez la Taille maximale du contenu utile brut à 0.

      Les dispositifs dont la Taille maximale du contenu utile brut est individualisée ne sont pas affectés par un changement du réglage global. Les dispositifs dont les réglages sont personnalisés doivent être configurés individuellement.

    4. Cliquez sur Sauvegarder.
  3. Pour configurer les paramètres de dispositifs QRadar Network Insights individuels, procédez comme suit:
    1. Dans l'onglet Admin , cliquez sur Gestion du système et de la licence.
    2. Sélectionnez le dispositif à modifier et cliquez sur Actions de déploiement > Editer la connexion hôte.
    3. Définissez le collecteur de flux et la connexion de source de flux et cliquez sur Sauvegarder.
    4. Indiquez la Taille maximale du contenu brut pour le dispositif.

      Les dispositifs dont la taille maximale du contenu utile brut est individualisée ne seront plus affectés par un éventuel changement du réglage global.

    5. Cliquez sur Suivant , puis sur Sauvegarder.
  4. Dans la barre de menus de l'onglet Admin , cliquez sur Avancé > Déployer la configuration complète.
    Avertissement: Lorsque vous déployez la configuration complète, les services QRadar redémarrent. Pendant ce temps, les événements et les flux ne sont pas collectés et aucune infraction n'est générée.
  5. Actualisez votre navigateur Web.