重複排除

IBM QRadar デプロイメントに、 Flow Processorにデータを提供する複数の フロー・コレクター が含まれている場合は、重複フローを削除するようにフロー重複排除を構成できます。 フロー重複排除プロセスは、同じ固有 ID を持つフロー・レコードが 1 回のみレポートされるようにします。

QRadar は、重複するフローを破棄する前に、以下のフィールドを元のフロー・レコードとマージして、ネットワーク上のどこで重複レコードが検出されたかを判別できるようにします。
  • フロー・ソース ID
  • フロー・ソース名
  • 送信元 ASN
  • 宛先 ASN
  • 入力 IF 索引
  • 出力 IF 索引

フロー重複排除の構成

フロー重複排除は、 フロー・コレクター または Flow Processorのいずれかで実行されるように構成できます。

フロー・コレクター が、ネットワークの同じ部分をモニターしている 2 つの異なるフロー・ソースからデータを受信する場合は、 フロー・コレクター ・アプライアンスで重複排除を構成します。 たとえば、 フローコレクター は、サードパーティのフローエクスポーターからデータを受信すると同時に、自身のネットワークTAPからもデータを受信する可能性があります。

ネットワークのオーバーラップ部分をモニターする 2 つの異なる フロー・コレクター がある場合、個々のフロー・コレクターは重複排除を認識しません。 このシナリオでは、 Flow Processor アプライアンスで重複排除を構成します。

アプライアンスの構成設定でフロー重複排除方法を設定できます。 詳しくは、 フロー・コレクターの構成を参照してください。