アプリケーション検出
IBM QRadar Network Insights は、インスペクターを使用してアプリケーション、セッション、およびプロトコルを検出します。
QRadar Network Insights 7.5.0 では、プロトコル構文解析が改善され、ペイロードを分析して、以前のバージョンの製品よりも約 300 多くのアプリケーションを識別できるようになりました。
- /opt/ibm/xforce/metadata/protocols.hdr (列ヘッダー)
- /opt/ibm/xforce/metadata/protocols.csv (値)
アプリケーション判別アルゴリズム
IBM QRadar Network Insights は、独自のインスペクター・セットとアプリケーション検出方式に依存します。 QRadar Network Insights、 QFlow アルゴリズムは、 QRadar Network Insights が特定のプロトコルを識別できない場合にのみ使用されます。
| 数値 | アルゴリズム名 | 説明 |
|---|---|---|
| 2 | アプリケーション・シグニチャー | ペイロードが構成されている方法を確認する、ペイロード・ベースのアルゴリズム。 このアルゴリズムは、 signatures.xml ファイルの情報を使用します。 |
| 3 | 状態ベースのデコード | 複雑な内部ロジックを使用する、ペイロード・ベースのアルゴリズム。 |
| 4 | QRadar ポート・ベースのマッピング | 事前定義されたアプリケーション・マッピング・リストを使用する、ポート・ベースのアルゴリズム。 このアルゴリズムは、 /opt/qradar/conf/appid_map.conf ファイルの情報を使用します。 |
| 5 | ユーザー・ポート・ベースのマッピング | カスタマイズ可能なアプリケーション・マッピング・リストを使用する、ポート・ベースのアルゴリズム。 このアルゴリズムを使用して、新しいポート・ベースのマッピングを追加したり、 QRadarに付属している既存のマッピングを再分類したりします。 このアルゴリズムは、 /opt/qradar/conf/user_application_mapping.conf ファイルの情報を使用します。 |
| 6 | ICMP プロトコル・マッピング | プロトコルのタイプとコードを確認する、プロトコル・ベースのアルゴリズム。 |
| 7 | フロー・エクスポーター | アプリケーションを判別するためにフロー・エクスポーターを使用するアルゴリズム。 例えば、 QFlow プロセスは、 QRadar Network Insightsからのアプリケーション ID を本質的に信頼します。 |
| 8 | QNI アプリケーション・シグニチャー | このアルゴリズムは QRadar Network Insightsで使用されます。 |
| 9 | QNI インスペクター | このアルゴリズムは、 QRadar Network Insights 7.5.0で削除されました。 |
| 10 | X-Force Web アプリケーション分類 | このアルゴリズムは QRadar Network Insightsで使用されます。 |
| 11 7.5.0 の新機能 |
QNI ポート・ヒューリスティック | このアルゴリズムは QRadar Network Insightsで使用されます。 これは、ポート・ベースのヒューリスティックを使用してアプリケーションが識別され、信頼性の低い度合いを表すことを示します。 |
| 12 7.5.0 の新機能 |
QNI 初期データ | このアルゴリズムは QRadar Network Insightsで使用されます。 これは、アプリケーションがフロー・セッション内の初期データを使用して識別され、中位の信頼性を表していることを示します。 |
| ※13 7.5.0 の新機能 |
QNI パーサー | このアルゴリズムは QRadar Network Insightsで使用されます。 これは、使用可能なデータを構文解析してアプリケーションが識別され、最も信頼性の高い度合いを表すことを示します。 |
