フロー・コレクターの構成

「フロー・コレクター」 構成設定を変更することで、 IBM QRadar がデバイスから受信したフローを収集して処理する方法を管理できます。

以下の表で、 フロー・コレクター の構成パラメーターについて説明します。
表 1. フロー・コレクターの構成パラメーター
パラメーター 説明
最大コンテンツ・キャプチャー フロー・コレクター がキャプチャーしてフロー・ペイロードに保持するデータの最大量 (パケット当たりのバイト数) を指定します。
最大データ・キャプチャー/パケット フロー・コレクター に分析させるデータの最大量 (パケット当たりのバイト数) を指定します。
フロー・バッファー・サイズ メモリー内でバッファーに入れることができるフローの最大数を指定します。
フローの最大数 「フロー・コレクター」 から Flow Processor に 1 分間隔で送信するフローの最大数を指定します。
別名自動検出 QRadar によってフロー・ソースを自動検出できるようにするには、「はい」 に設定します。

自動検出をオンにすると、 QRadar は、ルーターなどの外部フロー・ソースのフロー・ソース別名を自動的に作成できます。
重複フローの削除 フロー・コレクター で重複するフローを削除する場合は、これを 「はい」 に設定します。

ネットワーク内に非対称トラフィックがある場合は、このパラメーターを「いいえ」に設定します。
NetFlow シーケンス番号の確認 フロー・コレクター が着信 NetFlow シーケンス番号を検査して、すべてのパケットが存在し、順序どおりになっていることを確認する場合は、これを 「はい」 に設定します。

QRadar は、パケットが欠落しているか、誤った順序で受信された場合に通知を表示します。
外部フローの重複排除方法 重複外部フローを削除するために使用する方法を選択します。
  • 発信元フロー・ソースを比較するには、「送信元」を選択します。

    この方法は、最新の外部フロー・レコードをエクスポートしたデバイスの IP アドレスを、フローの最初の外部レコードをエクスポートしたデバイスの IP アドレスと比較します。 IP アドレスが一致しない場合は、最新の外部フロー・レコードが破棄されます。

  • 個別の外部フロー・レコードを比較するには、「レコード」を選択します。

    この方法は、デバイスによって検出された各外部フロー・レコードのリストをログに記録し、後続の各レコードをそのリストと比較します。 最新のレコードがリストにある場合は、レコードが破棄されます。

    この方法を選択する場合は、「外部フロー・レコード比較マスク」パラメーターも設定する必要があります。
フロー・キャリー・オーバー期間 QFlow プロセスが片側フローを保持する秒数を指定します。 デフォルト設定は 6 秒です。

この設定により、 QRadar がフロー応答を受信する時間が許可されます。 キャリー・オーバー期間内に含まれるフローは、次のレポート間隔まで送信されません。
外部フロー・レコード比較マスク 外部フロー・レコードを比較するために使用する方法を指定します。

このパラメーターは、外部フローの重複排除に使用する方法として「レコード」を選択した場合にのみ有効です。

外部フロー・レコードを比較するときに使用されるフロー・レコード・フィールドを選択できます。
  • D (方向)
  • B (バイト数)
  • P (パケット数)
フロー・レコード・フィールドを組み合わせて、以下の組み合わせを含めることができます。
  • DBP オプションは、方向、バイト数、およびパケット数を使用します。
  • XBP オプションは、バイト数およびパケット数を使用します。
  • DXP オプションは、方向およびパケット数を使用します。
  • DBX オプションは、方向およびバイト数を使用します。
  • DXX オプションは、方向を使用します。
  • XBX オプションは、バイト数を使用します。
  • XXP オプションは、パケット数を使用します。
スーパーフローの作成 類似するプロパティーを持つフローを QRadar によって 1 つのフロー・レコードにまとめるには、これを「はい」に設定します。
タイプ A スーパーフロー (ネットワーク・スキャン) QRadar がタイプ A (1 対多) のスーパーフローを作成する前に到達するしきい値を指定します。
タイプ B スーパーフロー (DDos) QRadar がタイプ B (多対 1) のスーパーフローを作成する前に到達するしきい値を指定します。
タイプ C スーパーフロー (ポート・スキャン) QRadar がタイプ C (1 対 1) のスーパーフローを作成する前に到達するしきい値を指定します。
非対称フローを再結合 QRadar によって非対称フローを再結合する場合は、これを「はい」に設定します。
非対称スーパーフローを無視 非対称フローが有効な場合に QRadar によってスーパーフローを作成するには、これを「はい」 に設定します。
共通宛先ポートを使用 フローの向きを反転するかどうかを QRadar によって決定するには、これを「はい」に設定します。

手順

  1. ナビゲーション・メニュー ( ナビゲーション・メニュー・アイコン ) で、 「管理」をクリックします。
  2. 「システム構成」 セクションで、 「システムおよびライセンス管理」をクリックします。
  3. 「表示」 リストで、 「システム」を選択し、構成する フロー・コレクター を選択します。
  4. 「デプロイメント・アクション」 メニューで、 「ホストの編集」をクリックします。
  5. 「コンポーネント管理」の横にある歯車アイコンをクリックします。
  6. 構成オプションを編集して、 「保存」をクリックします。
  7. デプロイメント内の フロー・コレクター ごとに構成ステップを繰り返します。
  8. 「システムおよびライセンス管理」 ウィンドウを閉じます。
  9. 変更内容を適用します。
    これにより、変更したすべての管理対象ホストで QFlow プロセスが再始動されます。