Agrégation de flux
IBM QRadar combine des informations pour vous donner plus d'informations sur un flux unique sans envoyer plus d'enregistrements de flux. Ce processus est appelé agrégation.
- Adresse IP source
- Port source
- Adresse IP cible
- Port de destination
- Protocole
- ID de flux (élément dépendant de la source de flux)
- ID de domaine source de flux (Nouveau dans 7.5.0 Update Package 7)
- Zones de réseau local virtuel (élément dépendant de la source de flux)
- Zones de réseau local virtuel extensible (élément dépendant de la source de flux)
Alors que les hôtes continuent de communiquer, les informations, telles que les compteurs d'octets et de paquets et la capture de contenu, sont agrégées dans un enregistrement de flux unique. Pour les communications qui s'étendent sur plus d'une minute, QRadar génère un rapport sur les métriques en cours du flux à la fin de chaque intervalle d'une minute. L'ensemble de la session de communication est représenté par plusieurs enregistrements de flux ayant la même valeur Heure du premier paquet mais une valeur Heure du dernier paquet incrémentielle.
Si les attributs sont identiques, les informations de flux sont mises à jour. Lorsqu'un ou plusieurs attributs changent, il est supposé que le flux est unique et un nouvel enregistrement de flux est créé.