ドメインのセグメンテーション
ドメインは、データのソースに基づいてデータを分離するために使用する仮想バケットです。 ネットワークを複数のドメインにセグメント化すると、必要としているユーザーのみに関連情報を使用可能にすることができるようになり、マルチテナント環境を構築するのに役立ちます。
特定のネットワーク・インターフェース上のトラフィックがネットワーク内の他のトラフィックからセグメント化されていることを確認するために、ネットワーク・インターフェースをドメインに追加できます。 このインターフェースは、 ドメイン構成 ウィンドウに表示される前に、フロー・ソースとして構成する必要があります。
QRadar Network Insights は、複数のフロー・ソースが異なるドメイン用に構成されている場合、またはそれらが個別の NUMA ノードの一部である場合にのみ、複数のフロー・ソースにわたるトラフィック・セグメンテーションをサポートします。
- Napatech カードを使用するインストール済み環境では、 napatech0 インターフェース上のすべてのポートが単一の集約インターフェースとして処理されます。
- 同じ NUMA ノード上のネットワーク・インターフェース・ポートに、両方のタップが接続されている場合、ネットワーク・タップからフローを受け取ることができます。
- 複数のフロー・ソースにわたって集約されるフローの場合、 フロー・インターフェース フィールドには、フロー・セッションを最初に監視したインターフェースが表示されます。
IP アドレスのオーバーラップ
QRadar Network Insights デプロイメントで IP アドレスがオーバーラップしているネットワーク・セグメントをモニターする場合は、ドメイン・セグメンテーション機能を使用して、入力フロー・ソースによってトラフィックがセグメント化されたままになるようにする必要があります。 ドメインを使用しない場合は、同じ NUMA ノード上の Intel または仮想ネットワーク・インターフェース上で受信されるトラフィックが集約されます。
- IP アドレス
- ポート (TCP/UDP)
- プロトコル
- VLAN ID
- VXLAN ID
フロー・ソースに基づいてドメインが構成されている場合、 QRadar Network Insights は、異なるドメイン用に異なるフロー ID が生成されるようにします。 このプロセスにより、オーバーラップする IP アドレスが QRadar QFlow プロセスによって集約されないようになります。