QRadar Network Packet Capture の検索および照会

特定の時刻範囲内かつ特定のポートからの特定のパケットを検索するには、「検索」タブを使用します。ソース IP、宛先 IP、ソース・ポート、宛先ポート、またはプロトコルのフィールドを任意に組み合わせて指定すると、 QRadar® Network Packet Capture 照会言語 (NTQL) ストリングが生成されます。 NTQL ストリングを変更したり、独自の NTQL 式を新規に作成したりすることができます。

例えば、NTQL を最適化するために、dst host を host に変更したり、送信元 IP と宛先 IP アドレス間の and 式を or 式に変更したりします。

複数の検索

複数の同時検索を実行できます。

注: 自動ダウンロードが有効になっている状態で 5 つ以上の検索を素早く連続して開始すると、応答速度が遅くなる可能性があります。これは、同時接続の数による Web ブラウザーの制限です。

検索結果の制限

検索結果を制限して検索の結果が配信されるまでの時間を短縮するには、以下のいずれかのフィルターを使用して検索に有効範囲を追加します。

時間間隔
受信ポート (Receive Ports) (選択済みのポート)

QRadar Network Packet Capture アプライアンスのグループ ( グループ化された QRadar Network Packet Capture アプライアンスを参照) を検索する場合は、ローカルアプライアンスにログオンしたときにのみ検索照会を送信するようにしてください。そうしないと、検索結果の取得パフォーマンスが低下します。

「ターゲットの検索 (Search Targets)」を使用して、スタック内の検索対象アプライアンスを指定することもできます。

検索出力の形式は標準の PCAP 形式または PCAP-NG 形式です。 PCAP-NG 形式には、 QRadar Network Packet Capture アプライアンスのグループにわたる検索であっても、ポート番号情報が含まれます。トラフィックを検索する際は、グループ内のサーバーごとに受信ポートを指定することもできます。

FCS (フレーム検査シーケンス) 情報もこの検索出力で返されます。この情報は、パケット・データに加えて送信されます。

検索を送信する前に検索エンジンがビジー状態である場合は、その検索をキューに入れることができます。検索が完了したらすぐに出力を自動的にダウンロードするかどうかを選択できるほか、複数の検索に優先順位を付けることができます。

NTQL と BPF の違い

キャプチャー時に作成された索引に基づいて検索を高速化するには、NTQL を使用します。

NTQL フィルターの動作は BPF (Berkeley Packet Filters) とは異なります。 NTQL フィルターの動作を以下の例に示します。

IP アドレスを検索する場合は、VLAN、MPLS、ISL のタグ付けやカプセル化にかかわらず、その IP アドレスを持つすべてのパケットが返されます。
特定の TCP ポートまたは UDP ポートを検索したときに返される結果には、拡張ヘッダーを持つ IPv6 パケットが含まれます。

BPF ポストフィルターは、完全な BPF 構文に基づいています。 BPF 式を作成すると、指定された NTQL フィルターを通過するパケットのみを BPF ポストフィルターがフィルターに掛けます。

BPF フィルターの動作は NTQL とは異なるため、NTQL フィルターによって検出されたパケットが削除される可能性があります。