フロー・スコア・コントリビューター
スコア・コントリビューター・グラフ
「スコア・コントリビューター」 グラフには、ネットワーク・ベースラインから逸脱した属性が表示されます。 逸脱したこれらの属性は、フロー・レコードの異常値スコアの要因となるものです。
- 緑色のステータス・バーは、属性の値がネットワーク・ベースラインと比較して正常範囲内にあるが、属性値が異常値スコアに寄与していることを示します。
非逸脱属性は、ネットワーク・ベースラインで検出された正常範囲内にある場合でも、異常値スコアに寄与します。
- 紫色のステータス・バーは、値が予期した値から逸脱していることを示します。
場合によっては、スコア・コントリビューター・ウィジェットが空になることがあります。これは、ネットワーク・ベースラインと比較したときに、すべてのフロー属性値が予期される値の範囲内にあったことを示します。 ベースラインの発生がまれである場合、フローのすべての属性が予期される範囲内にあっても、フローの外れ値スコアが高い可能性があります。
「ソース・コントリビューター」 ウィジェットに表示される一部のフロー属性は、 「フロー・レコード・プロパティー」 リストに表示されません。 例えば、 「送信元パケットと宛先パケット」 属性は、送信元パケットと宛先パケットを結合して比較する QRadar® Network Threat Analytics アルゴリズムの機能です。 「フロー・レコード・プロパティー」 リストで、これらの各属性は別個のエンティティーとして表示されます。
フロー・レコード・プロパティー・テーブル
「フロー・レコードのプロパティー」 表には、フローの分析に使用される各属性に関する情報が表示されます。
「値」 列にはフロー・レコード内の属性の値が表示され、 「ベースライン値」 列にはネットワーク・ベースラインで検出された値が表示されます。 空の 「ベースライン値」 フィールドは、そのフィールドの共通パターンがネットワーク・ベースラインに見つからないことを示している可能性があります。 また、ベースラインの作成に使用されたフロー・トラフィックにフィールドが存在しない場合も、空になる可能性があります。
状況は、属性値が予期される正常な範囲内にあるかどうか、またはネットワーク・ベースライン内のフロー・データから逸脱しているかどうかを示します。 表のソート順を変更するには、列見出しをクリックしてください。