フロー検査レベル

「基本」検査レベル

「基本」レベルは、最低レベルのフロー検査です。 このレベルは最大の帯域幅に対応していますが、生成するフロー情報は最小量です。

QRadar Network Insights が基本的なフロー検査レベルを使用してキャプチャーする属性は、ディープ・パケット検査を実行しないルーターまたはネットワーク・スイッチから取得する属性と似ています。 これには、以下のタイプの情報が含まれます。

QRadar Network Insights は、 「基本」 検査レベルで、ネットワーク通信に関する情報を収集するデータ・フローを作成します。 データ・フローには、ペイロードのサンプルが含まれ、バイトとパケット・サイズのカウンターが表示されます。 「基本」 検査レベルでは、 QRadar QFlow プロセスと同じ情報が収集されます。

「中程度」検査レベル

「中程度」の検査レベルでは、Protocol Inspector または Domain Inspector のいずれかによって各フローが識別および検査され、その検査から多くの種類の属性を生成できます。

「中程度」 および 「拡張」 検査レベルでは、 QRadar Network Insights はデータ・フローとコンテンツ・フローの両方を作成します。 コンテンツ・フローでは、詳細なレベルの検査によってデータ・フロー内で検出された内容が表示されます。 コンテンツ・フローにはペイロード・サンプルが含まれず、すべてのバイト・カウンターとパケット・カウンターにゼロが表示されます。 コンテンツ・フローは、「フロー ID」フィールドによってデータ・フローにリンクされています。

コンテンツ・フローは、以下の方法で識別できます。

• 「フロー情報」ウィンドウの「フロー・タイプ」フィールドに、「標準フロー (コンテンツ・フロー)」と表示されます。
• 「ネットワーク・アクティビティー」タブの「フロー・タイプ」アイコンのツールチップに、「標準フロー (コンテンツ・フロー)」と表示されます。

「拡張」検査レベル

拡張検査は、最高レベルの検査です。 転送されたファイル・コンテンツの包括的な分析により、拡張検査レベルで抽出されたフロー属性に基づいて作成されます。

「拡張」検査レベルはコンテンツ分析も実行します。これにより、「中程度」レベルより多くの疑わしいコンテンツ値を生成できます。 例えば、 「拡張」 検査レベルに設定すると、 QRadar Network Insights はファイル内の詳細を参照して、PDF または Microsoft 文書内の埋め込みスクリプトなどの疑わしいコンテンツを識別します。

強化されたレベルと同様に、コンテンツ・フローが作成され、データ・フローのより深いレベルの検査中に QRadar Network Insights が検出した内容が表示されます。