QRadar コンポーネント・タイプ

デプロイメントに追加される各 IBM QRadar アプライアンスには、 QRadarでの管理対象ホストの動作方法を指定する構成可能コンポーネントがあります。
図1： QRadar のイベント・コンポーネントとフロー・コンポーネント
QRadar ネットワーク・コンポーネント

QRadar Console

QRadar Console は、 QRadar 製品インターフェース、リアルタイムのイベント・ビューとフロー・ビュー、レポート、オフェンス、アセット情報、および管理機能を提供します。 分散環境では、 QRadar Console を使用して、デプロイメント内の他のコンポーネントを管理します。

イベント・コレクター

イベント・コレクター は、ローカルおよびリモートのログ・ソースからイベントを収集し、未加工のイベント・データを正規化して、 QRadarで使用できるようにします。 システム・リソースを節約するために、 イベント・コレクター は同一のイベントをまとめてバンドルし、そのデータを イベント・プロセッサーに送信します。

イベント・プロセッサー

イベント・プロセッサー は、1 つ以上の イベント・コレクター ・コンポーネントから収集されたイベントを処理します。 コンソールで定義されたカスタム・ルールにイベントが一致した場合、 イベント・プロセッサー は、ルール応答で定義されたアクションに従います。

各 イベント・プロセッサー には、ローカル・ストレージがあります。 イベント・データはプロセッサーに保管されますが、 Data Nodeに保管することもできます。

QRadar Flow Collector

QRadar Flow Collector は、ネットワーク上のデバイスからネットワーク・フローを収集します。 ライブ・フィードと記録されたフィード (ネットワーク・タップ、スパン・ポート、 NetFlow、 QRadar フロー・ログなど) が含まれます。

制約事項: QRadar Log Manager はフロー収集をサポートしません。

Flow Processor

Flow Processor は、1 つ以上の QRadar Flow Collector アプライアンスからのフローを処理します。 Flow Processorは、NetFlow,J-Flow、sFlowなどの外部ネットワーク・フローをネットワーク内のルーターから直接収集することもできます。

Flow Processors には、フロー・データ用のオンボード・プロセッサーと内部ストレージが含まれています。

Data Node

Data Node は、イベント・プロセッサーおよびフロー・プロセッサーからセキュリティー・イベントおよびフローを受信し、データをディスクに保管します。

Data Node は、常に イベント・プロセッサー または Flow Processorのいずれかに接続されます。

オフサイト・ソース・アプライアンスとオフサイト・ターゲット・アプライアンス

オフサイト・アプライアンスは、QRadar Console によってモニターされているデプロイメント環境の一部ではない QRadar アプライアンスです。

オフサイト・ソース・アプライアンスは、正規化されたデータを イベント・コレクターに転送します。 転送前にデータを暗号化するように、オフサイト・ソースを構成することができます。

オフサイト・ターゲット・アプライアンスは、デプロイメント内の任意の イベント・コレクターまたは任意のプロセッサーから正規化されたイベント・データまたはフロー・データを受信します。

後のバージョンの QRadar システムは、前のバージョンの QRadar システムからデータを受け取ることができますが、前のバージョンは後のバージョンからデータを受け取ることができません。 問題を避けるために、送信側をアップグレードする前に、すべての受信側をアップグレードしてください。