フロー・ソース
IBM QRadar は、さまざまなタイプのフロー・ソースからフローを受信できます。 フロー・ソースは、内部または外部のいずれかとして分類されます。
7.5.0 更新パッケージ 7 /api/config/flow_sources/flow_source_management/ API を使用して、環境内のフロー・ソースに関する情報 (フロー・ソース用に構成された構成パラメーターや、フロー・ソースをターゲットとするQRadar Network Insights ホストなど) を表示します。 API は読み取り専用であり、フロー・ソース情報を変更するために使用することはできません。
内部フロー・ソース
内部フロー・ソースは、ネットワーク・タップ・デバイスから、または、Napatech カードまたはネットワーク・インターフェース・カードに接続されているスパン・ポートまたはミラー・ポートから未加工パケットを収集します。 これらのソースは、ネットワーク上に表示される生パケット・データを提供し、それを QRadar フロー・コレクター上のモニター・ポートに送信します。フロー・コレクターは、パケット・データをフロー・レコードに変換します。
内部フロー・ソースをマルチスレッド化できます。 QRadar はパケット・ペイロード全体を保持しません。 代わりに、通信が開始されてからのパケットの一部のみをキャプチャーします。 このスナップショットは、ペイロード またはコンテンツ・キャプチャー と呼ばれます。
外部フロー・ソース
QRadar は、共通ネットワーク・モニター・プロトコル ( NetFlow、IPFIX、 sFlow J-Flow、 Packeteer データなど) を送信するルーターなどの外部フロー・ソースもサポートします。
これらの外部フロー・ソースは、内部フロー・ソースとは異なるレベルの可視性を提供できます。 例えば、 NetFlow レコードは、パケットが通過したルーター・インターフェースと、発信ネットワークの ASN レコード番号の両方を提供できます。 IPFIX を使用する場合、正規化されたフィールドに解析されない追加フィールドを、名前と値のペアとしてペイロードに配置でき、これらをカスタム・プロパティーとして使用できます。
外部ソースは、処理のために CPU 使用率をそれほど必要としないため、 Flow Processorに直接送信することができます。 この構成では、フロー・データの受信と作成の両方を行う、専用のフロー・コレクターとフロー・プロセッサーを使用できます。
