ネットワーク階層を定義する際のガイドライン
IBM QRadar でネットワーク階層を構築することは、デプロイメントを構成するための重要な最初のステップです。 適切に構成されたネットワーク階層がないと、 QRadar はフローの向きを判別したり、信頼性の高いアセット・データベースを構築したり、ルール内の有用なビルディング・ブロックの利点を活用したりすることができません。
ネットワーク階層を定義する際は、以下のガイドラインを考慮してください。
- システムおよびネットワークを、ロールまたは類似のトラフィック・パターン別に編成します。
例えば、メール・サーバー、部門ユーザー、ラボ、開発チームのグループを含むネットワークを編成します。 このような編成を使用することにより、ネットワークの振る舞いを区別したり、振る舞いに基づくネットワーク管理セキュリティー・ポリシーを施行したりすることができます。 ただし、特有の振る舞いをするサーバーを、ネットワーク上の他のサーバーと一緒にグループ化しないでください。 固有のサーバーを単独で配置すると、 QRadarでのサーバーの可視性が向上し、サーバー用の特定のセキュリティー・ポリシーの作成が容易になります。
- トラフィック量が多いサーバー (メール・サーバーなど) をグループの最上位に配置します。 このような階層にすることにより、矛盾が生じた場合でも視覚的に見分けやすくなります。
- ルート・レベルのエレメントが多すぎないようにしてください。
ルート・レベルのエレメントの数が多いと、 ネットワーク階層 ページのロードに長い時間がかかることがあります。
- オブジェクトが 15 個を超えるようなネットワーク・グループを構成しないでください。
大規模ネットワーク・グループでは、各オブジェクトの詳細情報を参照するのが困難になる場合があります。 デプロイメント環境で 600,000 を超えるフローを処理する場合は、複数の最上位グループを作成することを検討してください。
- 複数のクラスレス・ドメイン間ルーティング (CIDR) またはサブネットを単一のネットワーク・グループに結合して、ディスク・スペースを節約します。例えば、重要なサーバーを個別オブジェクトとして追加し、他の主要な関連サーバーを複数の CIDR オブジェクトにグループ化します。
表 1. 単一ネットワーク・グループ内の複数の CIDR およびサブネットの例 グループ 説明 IP アドレス 1 マーケティング 10.10.5.0/24 2 営業 10.10.8.0/21 3 データベース・クラスター 10.10.1.3/32
10.10.1.4/32
10.10.1.5/32
- 新規ネットワークを定義するときは、適切なポリシーおよび振る舞いモニターが適用されるように、1 つの包括的なグループを定義します。以下の例で、人事部門ネットワーク (10.10.50.0/24 など) を Cleveland グループに追加する場合、トラフィックは Cleveland ベースとして表示され、Cleveland グループに適用するすべてのルールがデフォルトで適用されます。
表 2. 1 つの包括的グループの例 グループ サブグループ (Subgroup) IP アドレス Cleveland Cleveland 各種 10.10.0.0/16 Cleveland Cleveland 販売 10.10.8.0/21 Cleveland Cleveland マーケティング 10.10.1.0/24 - ドメインが有効にされた環境では、各 IP アドレスが適切なドメインに割り当てられていることを確認します。