アプリケーション ID

QFlow プロセスは、アルゴリズムを使用してフロー・アプリケーションを判別します。 それぞれのアルゴリズムが、アプリケーションを判別するために異なるタイプの情報を使用します。

IBM QRadar Network Insights は、独自のインスペクター・セットとアプリケーション検出方式に依存します。 QRadar Network Insights、 QFlow アルゴリズムは、 QRadar Network Insights が特定のプロトコルを識別できない場合にのみ使用されます。

アプリケーション判別アルゴリズムを以下の表に示します。
表 1. アプリケーション判別アルゴリズム
数値 アルゴリズム名 説明
2 アプリケーション・シグニチャー ペイロードが構成されている方法を確認する、ペイロード・ベースのアルゴリズム。

このアルゴリズムは、 signatures.xml ファイルの情報を使用します。
3 状態ベースのデコード 複雑な内部ロジックを使用する、ペイロード・ベースのアルゴリズム。
4 QRadar ポート・ベースのマッピング 事前定義されたアプリケーション・マッピング・リストを使用する、ポート・ベースのアルゴリズム。

このアルゴリズムは、 /opt/qradar/conf/appid_map.conf ファイルの情報を使用します。
5 ユーザー・ポート・ベースのマッピング カスタマイズ可能なアプリケーション・マッピング・リストを使用する、ポート・ベースのアルゴリズム。

このアルゴリズムを使用して、新しいポート・ベースのマッピングを追加したり、 QRadarに付属している既存のマッピングを再分類したりします。

このアルゴリズムは、 /opt/qradar/conf/user_application_mapping.conf ファイルの情報を使用します。
6 ICMP プロトコル・マッピング プロトコルのタイプとコードを確認する、プロトコル・ベースのアルゴリズム。
7 フロー・エクスポーター アプリケーションを判別するためにフロー・エクスポーターを使用するアルゴリズム。

例えば、 QFlow プロセスは、 QRadar Network Insightsからのアプリケーション ID を本質的に信頼します。
8 QNI アプリケーション・シグニチャー このアルゴリズムは QRadar Network Insightsで使用されます。
9 QNI インスペクター このアルゴリズムは、 QRadar Network Insights 7.5.0で削除されました。
10 X-Force Web アプリケーション分類 このアルゴリズムは QRadar Network Insightsで使用されます。
11

7.5.0 の新機能

 QNI ポート・ヒューリスティック このアルゴリズムは QRadar Network Insightsで使用されます。

これは、ポート・ベースのヒューリスティックを使用してアプリケーションが識別され、信頼性の低い度合いを表すことを示します。
12

7.5.0 の新機能

 QNI 初期データ このアルゴリズムは QRadar Network Insightsで使用されます。

これは、アプリケーションがフロー・セッション内の初期データを使用して識別され、中位の信頼性を表していることを示します。
※13

7.5.0 の新機能

 QNI パーサー このアルゴリズムは QRadar Network Insightsで使用されます。

これは、使用可能なデータを構文解析してアプリケーションが識別され、最も信頼性の高い度合いを表すことを示します。
「 フロー情報 」ウィンドウの アプリケーション決定アルゴリズム フィールドで使用されるアプリケーション検出アルゴリズムのタイプを確認できます。
どのフィールドに、使用されたアプリケーション判別アルゴリズムが表示されているかを示す「フロー情報」ウィンドウ。

カスタム・アプリケーション

非標準またはカスタマイズされたアプリケーションが組織にある場合は、それらを /opt/qradar/conf/user_application_mapping.conf ファイルまたは signatures.xml ファイルに追加することができます。

「アプリケーション判別アルゴリズム (Application Determination Algorithm)」フィールドを使用して、カスタマイズされたアプリケーションを識別するために正しいアルゴリズムが使用されたことを確認できます。 例えば、ポートの使用状況に基づいてカスタム・アプリケーションを定義できます。 そのアプリケーションからのフローは、アルゴリズム 5 (「ユーザー・ポート・ベースのマッピング」) によって識別されます。 アプリケーションを識別するために使用されるアルゴリズムを確認することにより、アプリケーション・マッピングに信頼性のレベルを割り当てることができます。

詳しくは、「 IBM QRadar アプリケーション構成ガイド」の「 新規アプリケーションの定義 」および「 デフォルト・アプリケーション 」を参照してください。