QRadar Network Insights アプライアンスがフロー・プロセッサーにデータを送信していることの確認

以下のステップに従って、 QRadar Network Insights アプライアンスがデプロイメント内のフロー・コレクターまたはフロー・プロセッサーに IPFIX レコードを送信していることを確認します。

始める前に

フロー・ソースが追加され、有効になっていることと、変更がデプロイされていることを確認します。 詳しくは、 フロー・ソースを参照してください。

QRadar Network Insights アプライアンスが未加工のパケット・データを受信していることを確認します。

手順

  1. QRadarでフロー・ソースが追加され、有効になっていることを確認します。
    1. 管理ユーザーとして QRadar コンソールにログインします。
    2. 「管理」 タブで、以下のようにします。 フロー > 「フロー・ソース」をクリックします。
    3. フロー・ソースの設定を確認し、 「使用可能」 列が true に設定されていることを確認します。
    4. QRadar Network Insights 管理対象ホストごとにこの手順を繰り返します。
    5. フロー・ソース構成を変更した場合は、 「管理」 タブで 「変更のデプロイ」をクリックします。
  2. フローが受信されていることを確認します。
    1. SSH を使用して QRadar コンソールにログインします。
    2. 以下のコマンドを入力します。
      tailf /var/log/qradar.log | grep qflow
      次のようなメッセージは、 Flow Processor が QRadar Network Insightsからフローを受信していないことを示します。
      IPFIX Flow Source Stats for <my_dtls_flow_source_name>: received and processed 0 packets
      このようなメッセージは、フローが受信されていることを示します。
      <my_dtls_flow_source_name> の IPFIX フロー・ソースの統計: 受信および処理された 12345 パケット
  3. フローを受信していない場合は、 QRadar Network Insights 管理対象ホストが正しく構成されていることを確認してください。
    1. 「管理」 タブで、 「システムおよびライセンス管理」をクリックします。
    2. フロー・データを送信しない QRadar Network Insights 管理対象ホストを選択します。
    3. デプロイメント・アクション > 「ホスト接続の編集」をクリックします。
    4. QRadar Network Insights アプライアンスがフロー・データを送信する先のフロー・プロセッサーを選択し、 「保存」をクリックします。
    5. QRadar Network Insights 管理対象ホストを構成し、 「保存」をクリックします。
    6. 管理者 タブで、 拡張 > 全構成のデプロイをクリックします。
    7. 前のステップを繰り返して、フローが受信されていることを確認します。

次に実行するタスク

QRadar Consoleで、 ネットワーク・アクティビティー タブをクリックしてフロー・レコードを表示します。