フロー・コレクター・フォーマットの構成

フロー・コレクターは、TLV (type-length-value) フォーマットまたはペイロード・フォーマットで、フロー・プロセッサーにデータをエクスポートできます。

TLV フォーマットは、コンテンツ・メタデータ・プロパティーをフロー・レコードに保管し、 QRadarで追加の構成を行わなくても検索できます。

ペイロード・フォーマットは、コンテンツのメタデータ・プロパティーをフロー・レコードの「ペイロード」フィールドに格納します。 データを検索するには、カスタム・プロパティーを使用してペイロードからデータを抽出する必要があります。

始める前に

フロー・コレクターが使用するフォーマットを構成する前に、次のタスクを完了するようにします。

  • 管理対象ホストとして接続された QRadar Network Insights アプライアンスを使用して QRadar Console をインストールします。
  • IBM QRadar Network Insights アプライアンスを管理対象ホストとして接続した後、フル・デプロイメントを実行します。
重要: コンテンツ拡張 v1.3.0 では、TLV フィールドのサポートが導入されました。これにより、カスタム・プロパティーに基づく以前のコンテンツ拡張が置き換えられます。 コンテンツ拡張 v1.3.0 以降を使用する場合は、フロー・コレクター・フォーマットを TLV に設定する必要があります。それ以外の場合、コンテンツ・パック内のルールは機能しません。

手順

  1. QRadarにログインします。 https://QRadar_IP_Address

    デフォルト・ユーザー名は admin です。 パスワードは、root ユーザー・アカウントのパスワードです。

  2. ナビゲーション・メニュー ( ナビゲーション・メニュー・アイコン ) で、 「管理」をクリックします。
  3. ナビゲーション・ペインで、 「システム設定」をクリックします。
  4. 「QFlow 設定 (QFlow Settings)」 メニューをクリックし、 「IPFIX 追加フィールド・エンコード (IPFIX Additional Field Encoding)」 フィールドでフォーマットを選択します。
    表 1. QFlow フォーマット・オプション
    フロー・コレクター・フォーマット 説明
    TLV フロー・コレクター・フォーマットのデフォルトの設定。

    環境内に QRadar Network Insights アプライアンスがある場合に使用する必要があります。

    QRadar Network Insights V7.3.0 以降では、コンテンツ・フローに対して TLV のみがサポートされます。

    環境内に QRadar Network Insights アプライアンスがない場合に使用できます。
    ペイロード 環境内に QRadar Network Insights アプライアンスがない場合に使用できます。
  5. 「保存」をクリックします。
  6. 「管理」 タブのメニュー・バーから、 「すべての構成のデプロイ」 をクリックし、変更を確認します。
    警告: 完全な構成をデプロイすると、 QRadar サービスが再始動されます。 この間、イベントおよびフローは収集されず、オフェンスも生成されません。
  7. Web ブラウザーを最新表示します。