フローの調査

IBM QRadar は、ネットワーク通信で疑わしいアクティビティーを識別すると、フローをオフェンスに相関させます。 フロー分析は、Web ブラウザー、NFS、SNMP、Telnet、および FTP などのアプリケーションのために、レイヤー 7 (アプリケーション層) への可視性を提供します。 フローには、暗号化されていないトラフィックからの IP アドレス、ポート、アプリケーション、トラフィック統計、およびパケット・ペイロードなどの情報が含まれます。

デフォルトでは、 QRadar は、フロー・データの最初の 64 バイトから正規化されたフィールドおよびカスタム・フロー・プロパティーを抽出しようとしますが、管理者は、より多くのデータを収集するためにコンテンツ・キャプチャーの長さを増やすことができます。 詳細については、「 IBM QRadar 管理ガイド」を参照してください。

手順

  1. 「オフェンスのサマリー」 ウィンドウで、右上のメニューの 「フロー」 をクリックします。

    「フロー・リスト」ウィンドウに、オフェンスに関連付けられているフローがすべて表示されます。

  2. 特定の時間フレーム内に発生したフローを表示するには、 「開始時刻」、 「終了時刻」、および 「表示」 オプションを指定します。
  3. フローの列見出しをクリックしてフロー・リストをソートします。
  4. フローのリストで、フロー名を右クリックしてクイック・フィルター・オプションを適用し、レビューするフローの数を減らします。

    フロー・リストの他の列にも同様にクリック・フィルターを適用することができます。

  5. フローをダブルクリックして、フローの詳細をレビューします。
    フローの詳細については、以下を参照してください。
    フィールド 説明
    イベントの記述 アプリケーションがペイロードで識別されない場合、 QRadar は組み込みデコードを使用してアプリケーションを判別し、以下を表示します。Application detected with state-based decodingイベントの説明を参照してください。
    ソース・ペイロード および 宛先ペイロード ペイロードのサイズを表示します。

    サイズが 64 バイトを超えると、 QRadar インターフェースに表示されない追加情報がペイロードに含まれる場合があります。
    部分的に一致するカスタム・ルール (Custom Rules Partially Matched) しきい値は満たさないが、ルールは一致するルールを表示します。
    フローの向き フローの向きを指定します。ここで、Lローカル・ネットワークを示します。Rリモート・ネットワークを示します。

次に実行するタスク

QRadar を使用してフロー・データを確認する方法について詳しくは、 ネットワーク・アクティビティー・モニター および イベントとフローの検索を参照してください。