フロー集約

IBM QRadar は、情報を結合して、追加のフロー・レコードを送信することなく、単一のフローに関する詳細情報を提供します。 このプロセスは集約と呼ばれます。

フローは、以下の情報を含むフロー・レコードにパケット属性を正規化して、2 つのホスト間の通信セッションを示します。
  • ソース IP アドレス
  • 送信元ポート
  • 宛先 IP アドレス
  • 宛先ポート
  • プロトコル
  • フロー ID (フロー・ソースに従属)
  • フロー・ソース・ドメイン ID ( 7.5.0 Update Package 7 の新機能)
  • VLAN フィールド (フロー・ソースに従属)
  • VXLAN フィールド (フロー・ソースに従属)

ホストが通信を続行するにつれて、バイト・カウンター、パケット・カウンター、ペイロード・キャプチャーなどの情報が 1 つのフロー・レコードに集約されます。 1 分を超える通信の場合、 QRadar は、各 1 分間隔の終了時にフローの現在のメトリックを報告します。 通信セッション全体が、同じ「最初のパケットの時刻」値と、増分の「最後のパケットの時刻」値を持つ、複数のフロー・レコードによって表されます。

属性が同じ場合は、フロー情報が更新されます。 1 つ以上の属性が変更されると、フローは固有であると見なされて、新しいフロー・レコードが作成されます。