フローの向き
QFlow プロセスは、各フローを分析して、ネットワーク通信の方向を判別します。
フロー・トラフィックは、クライアントがサーバーと通信し、サーバーがクライアントに応答する双方向の場合もあります。 この場合、クライアントもサーバーも、自分が送信元で相手が宛先であるかのように動作します。 これに対処するために、 QRadar はフローの向きを設定して、通信セッション全体でソース・デバイスと宛先デバイスが一貫して報告されるようにします。 フロー・データは正規化され、すべてのフローが同じ規則に従います。この規則では、「宛先」は常にサーバーを指し、「送信元」は常にクライアントを指します。
フローの向きを決定するために、 QRadar はフローを分析して、ソース・ポートと宛先ポートが、 QRadar 構成で定義されている共通宛先ポートのリストと一致するかどうかを判別します。 以下の条件に一致している場合、フローの向きが反転されます。
- 宛先ポートが共通宛先ポートのリストに一致していない場合、以下のいずれかの条件が該当するとフローの向きが反転されます。
- 送信元ポートが共通宛先ポートである。
- 送信元ポートが 1024 未満で、宛先ポートが 1024 より大きい。
- 宛先ポートが共通宛先ポートのリストに一致している場合、以下の両方の条件が該当するとフローの向きが反転されます。
- 送信元ポートが共通宛先ポートである。
- 送信元ポートが 1024 未満で、宛先ポートが 1024 より大きい。
フローがどのフロー方向基準にも一致しない場合、 QRadar はフロー到着時刻を使用してフローの向きを決定します。
ヒント: QRadar がフローの向きを決定しないようにするには、 フロー・コレクターを構成するときに 「共通宛先ポートの使用」 フィールドを 「いいえ」 に設定します。 詳しくは、 フロー・コレクターの構成を参照してください。
例: QRadar によって反転されたフローの向き
このフローでは、送信元ポートは 80 であり、共通宛先ポートです。 宛先ポートは 1024 より大きく、RFC1700 に従って、共通宛先ポートとして除外されます。 この場合、 QRadar はフローの向きを反転させました。
「フロー情報」 ウィンドウで、方向を設定するために使用されたフローの向きアルゴリズムを確認できます。 