스택 작성

새 실제 QRadar® Network Packet Capture 스택을 작성하여 캡처 데이터에 사용 가능한 스토리지 공간을 늘리십시오.

시작하기 전에

스택을 작성하기 전에 사용자 환경을 준비하십시오.
  • 스택 컨트롤러를 포함하여 최대 16개의 어플라이언스가 스택킹할 수 있습니다. 두 어플라이언스 간의 최대 물리적 케이블링 거리는 10미터입니다.
  • 스택의 모든 어플라이언스가 동일한 버전의 QRadar Network Packet Capture 소프트웨어를 실행 중인지 확인하십시오.
  • 모든 어플라이언스가 그룹에 있는지 확인하십시오. 자세한 정보는 그룹화된 어플라이언스를 참조하십시오.
  • 어플라이언스를 연결하여 모든 어플라이언스가 서로 통신할 수 있도록 링을 형성하십시오. 예제 케이블링 다이어그램을 보려면 스택 토폴로지를 참조하십시오.
    참고: 라우팅 및 전환은 허용되지 않습니다. 피어 투 피어 연결만 허용됩니다.

프로시저

  1. 스택 컨트롤러에서 포트 2를 모니터되는 스위치나 SPAN 포트에 연결하십시오. 이것이 TAP 지점입니다.
  2. 선택사항. 스택 컨트롤러에서는 포트 3을 QRadar QNI 어플라이언스에 연결하십시오.
    포트 3은 모든 캡처 데이터를 QNI 어플라이언스로 재전송하는 데 사용됩니다. 데이터는 프레임에 임베드된 고정밀 데이터 캡처 시간소인이 포함된 특수 형식으로 재전송됩니다.
  3. 스택 노드에서는 포트 0과 포트 1을 연결하여 링을 형성하십시오.
    주: 스택 노드의 경우 포트 2및 3을 사용하지 않아야 합니다.

예

다음 다이어그램은 스택 컨트롤러(어플라이언스 A)와 3개의 스택 노드(어플라이언스 B, C 및 P)가 있는 샘플 토폴로지를 보여줍니다.

NT40E3-4 포트는 포트 0와 1을 사용하여 연결하여 링을 형성합니다.
  1. 어플라이언스 A, 포트 0은 어플라이언스 B, 포트 1에 연결됩니다.
  2. 어플라이언스 B, 포트 0은 어플라이언스 C, 포트 1에 연결됩니다.
  3. 어플라이언스 C, 포트 0은 어플라이언스 A, 포트 1에 연결됩니다.
그림 1. QRadar Network Packet Capture 샘플 토폴로지입니다.
스택 제어기는 다이어그램의 맨 아래에 표시되며, 수신 캡처 데이터 및 재전송된 전송 캡처 데이터가 있습니다. 스택 컨트롤러는 스택 노드에 상호 연결됩니다(컨트롤러를 포함하여 최대 16개의 노드가 있음). 스택 컨트롤러는 또한 스택 노드입니다. 각 스택 노드에는 SmartNIC 및 데이터베이스가 있으며 스위치 및 관리 네트워크에 대한 양방향 연결이 있습니다.