スタックの作成

スタックを作成すると、処理できるデータ量が増え、最も高い検査レベルでのフローのスループット・パフォーマンスを向上させることができます。 スタックできるアプライアンスは、QRadar Network Insights1920（タイプ 6200）とQRadar Network Insights1940（タイプ 6600 および 6610）のみです。

始める前に

スタックに組み込むすべてのアプライアンスがラックに設置され、ケーブルで接続されていることを確認してください。

アプライアンスと、それを管理するために使用される QRadar Console が、同じ QRadar バージョンおよびフィックスパック・レベルであることを確認してください。

このタスクについて

デフォルトでは、各アプライアンスの「フロー検査レベル」は、「システム設定」で定義されているグローバル設定から継承されます。 各アプライアンスのフロー検査レベルを構成して、グローバル設定をオーバーライドできます。 スタック構成では、スタックごとに異なる検査レベルを設定できますが、スタック内のすべてのアプライアンスに同じ検査レベルが適用されている必要があります。

「未加工ペイロードの最大サイズ」もグローバル・システム設定から継承されますが、これは個々のアプライアンスで変更できます。 ペイロードのデフォルト・サイズは 64 バイトであり、最大サイズは 32 768 バイトです。 ペイロードを大きくすると、パフォーマンスに影響を及ぼす可能性があります。 バイト・サイズを少しずつ増やしながら調整し、ディスクがすぐにいっぱいにならないようにディスク容量をモニターしてください。

手順

  1. 必要に応じて、 QRadar Network Insights アプライアンスを管理対象ホストとしてデプロイメントに追加します。
    1. ナビゲーション・メニュー ( ナビゲーション・メニュー・アイコン ) で、 「管理」をクリックします。
    2. 「システム構成」 セクションで、 「システムおよびライセンス管理」をクリックします。
    3. 「表示」 リストで、 「システム」を選択します。
    4. 「デプロイメント・アクション」 メニューで、 「ホストの追加」をクリックします。
    5. 固定 IP アドレスとアプライアンスのルート・パスワードを指定して、管理対象ホストの設定を構成します。
    6. 「追加」をクリックします。
      管理対象ホストが追加され、新規構成をデプロイする準備が整います。
    7. 管理者 タブで、 拡張 > 全構成のデプロイをクリックします。

      完全な構成をデプロイすると、 QRadar は引き続きイベントを収集します。

  2. 管理対象ホストを QRadar Network Insights スタックの一部として構成するには、ホスト接続情報を編集します。
    1. 「管理」 タブで、 「システムおよびライセンス管理」をクリックします。
    2. 「表示」 リストで、 「システム」を選択します。
    3. QRadar Network Insights 管理対象ホストを選択し、 「デプロイメント・アクション」 メニューで 「ホスト接続の編集」をクリックします。
    4. 「 QRadar Network Insights 接続の変更」 ページで、 QRadar 「 フロー・コレクター」 と NetFlow ソースを選択します。

      デフォルトでは、フロー・コレクターは QRadar Consoleの IP アドレスです。

    5. 「保存」をクリックします。

      管理対象ホストがスタック可能なアプライアンスであることを、コンソールが認識します。

    6. 「ホスト・アクション」 フィールドで、 「新規スタックの作成」 を選択し、記述名を入力します。
    7. オプション: 「フロー検査レベル」 および 「未加工ペイロードの最大サイズ」を変更します。
    8. 「次へ」を選択します。

      「QNI のポートの構成」ウィンドウに、ポートがスタック構成で動作するように再構成されたことが示されます。

    9. 「保存」をクリックします。

      「システムおよびライセンス管理」 ウィンドウに、1 つの QRadar Network Insights アプライアンスを含む新しい QRadar Network Insights スタックが表示されるようになりました。

次に実行するタスク

変更内容をデプロイして新規構成を有効にする必要があります。