ネットワーク・アクティビティー・モニタリング

IBM QRadar は、ネットワーク内のデバイスが相互に通信する方法に関する情報を収集します。ネットワーク経由で発生する通信のレコードは、フローと呼ばれます。

QRadarでは、フローは「ネットワーク・アクティビティー」タブに表示されます。このタブを表示するには、権限が必要です。

デフォルトでは、「ネットワーク・アクティビティー」タブには、ストリーム・モードでフローが表示されます。既に受信したフローを分析するために、ストリーム・モードを一時停止して、検索を実行したり、フローにフィルターを適用したりできます。

デフォルトとして構成されている保存済み検索基準がある場合、「ネットワーク・アクティビティー」タブにアクセスすると、その検索の結果が自動的に表示されます。

イベントとフローの違い

イベントは、特定の時点にネットワーク上で発生したアクティビティーのレコードです。発生したアクティビティーと、どのアセットが関係したかに関する情報が提供されます。例えば、ユーザーがファイアウォールに対して認証を試みたが失敗した場合、ファイアウォールはシステム・ログを QRadarに送信します。認証の試みがイベントとして記録されます。「ログ・アクティビティー」タブで、イベントに関する情報を表示します。

イベントとは異なり、フローは、時間とともに発生するネットワーク・アクティビティーです。フロー・レコードには、デバイスがネットワーク経由で相互に通信したときに受信および送信した、実際のメッセージが示されます。例えば、フロー・レコードには、ユーザーが E メールの送信、Web ページへのアクセス、ファイルのダウンロード、またはソーシャル・メディアの使用をいつ行ったかが示されます。 Web 要求によって、画像や広告などのファイルが数秒間でダウンロードされることもあれば、ユーザーが動画を見ている場合はダウンロードは数時間続くこともあります。

イベントと比較して、フロー・トラフィックは、ネットワーク上で何が発生しているかの全体像を提供します。イベントの発生前、発生中、および発生後に何が起きていたのかを示します。