未加工ペイロード・データ・キャプチャーのサイズの構成

IBM QRadar Network Insights を使用して、未加工ペイロード・データを抽出できます。

各アプライアンスの 「未加工ペイロードの最大サイズ」 は、 QRadar Network Insights グローバル設定から継承されます。

このタスクについて

初期インストール時に、 IBM QRadar Network Insights は、最大 64 バイトの未加工ペイロード・データをキャプチャーするように構成されます。 ペイロード・データのキャプチャーを停止するには、「未加工ペイロードの最大サイズ」を 0 に設定します。

グローバル設定を変更すると、そのグローバル設定を使用するように構成されているすべての QRadar Network Insights アプライアンスによって新しい値が継承されます。 更新された設定は、設定の変更後に追加する新規アプライアンスにも適用されます。

QRadar Network Insights 6200、6600、および 6610 アプライアンスの場合、カスタムの 「未加工ペイロードの最大サイズ」 設定を構成することで、グローバル設定をオーバーライドできます。 カスタム設定を使用するように構成されているアプライアンスは、グローバル設定への変更によって影響を受けません。 アプライアンスがグローバル設定を使用するように設定を元に戻すには、ホスト接続を編集し、「未加工ペイロードの最大サイズ」「グローバル」に設定する必要があります。

注:

未加工ペイロードのサイズは最大で 32 768 バイトまで増やすことができますが、ペイロードを大きくすると、パフォーマンスに影響を及ぼす可能性があります。 バイト・サイズを少しずつ増やしながら調整し、ディスクがすぐにいっぱいにならないようにディスク容量をモニターしてください。

QRadar Network Insights の未加工ペイロードの最大サイズが QFlow のコンテンツ・キャプチャーの長さより大きい場合、一部のペイロードが切り捨てられる可能性があります。 QFlow キャプチャーが、 QRadar Network Insights ペイロード・サイズ以上であることを確認してください。 フローについて詳しくは、 フロー・ソースを参照してください。

手順

  1. 管理者として QRadar にログインします。
  2. グローバル設定を構成するには、以下の手順を実行します。
    1. 「管理」 タブで、 「システム設定」をクリックします。
    2. QRadar Network Insights 「設定」をクリックします。
    3. 「未加工ペイロードの最大サイズ」で、キャプチャーするデータの最大量を選択します。

      ペイロード・データ・キャプチャーをオフにするには、「未加工ペイロードの最大サイズ」0 に設定します。

      「未加工ペイロードの最大サイズ」のカスタム設定を使用するアプライアンスは、グローバル設定への変更によって影響を受けません。 カスタマイズされたアプライアンスは、個別に構成する必要があります。

    4. 「保存」をクリックします。
  3. 個々の QRadar Network Insights アプライアンスの設定を構成するには、以下の手順を実行します。
    1. 「管理」 タブで、 「システムおよびライセンス管理」をクリックします。
    2. 変更するアプライアンスを選択し、 デプロイメント・アクション > 「ホスト接続の編集」をクリックします。
    3. フロー・コレクターとフロー・ソース接続を設定し、 「保存」をクリックします。
    4. アプライアンスの 「未加工ペイロードの最大サイズ」 を指定します。

      「未加工ペイロードの最大サイズ」のカスタム設定を使用するように構成されているアプライアンスは、グローバル設定への将来の変更によって影響を受けません。

    5. 「次へ」 をクリックして、 「保存」をクリックします。
  4. 「管理」 タブのメニュー・バーから、 「拡張」 > 「すべての構成のデプロイ」をクリックします。
    警告: 完全な構成をデプロイすると、 QRadar サービスが再始動します。 この間、イベントおよびフローは収集されず、オフェンスも生成されません。
  5. Web ブラウザーを最新表示します。