네트워크 계층 구조 검토

올바르게 정의되고 유지보수된 네트워크 계층 구조는 False Positive 오펜스 생성을 막는 데 도움이 될 수 있습니다. 네트워크 계층 구조는 네트워크의 일부인 IP 주소와 서브넷을 정의하는 데 사용됩니다. 모든 내부 주소 공간 (라우트 가능 및 라우트 불가능) 이 IBM® QRadar® 네트워크 계층 구조 내에 정의되어 있는지 확인하십시오. 그런 다음 QRadar 는 로컬 네트워크를 원격 네트워크와 구별할 수 있습니다. 이벤트 및 플로우 컨텍스트는 소스 및 대상 IP가 로컬인지 아니면 원격인지에 따라 다릅니다. 이벤트 및 플로우 컨텍스트, 그리고 네트워크 계층 구조의 데이터가 룰 테스트에 사용됩니다.

1. 탐색 메뉴에서 네트워크 계층 구조를 클릭하십시오.
2. 선택사항: 튜닝 비디오를 보고 네트워크 계층 구조 및 이를 최신 상태로 유지하는 방법에 대해 자세히 알아보십시오.
3. 네트워크 계층 구조 목록을 확인하여 아직 업데이트되지 않은 네트워크 계층 구조의 일부를 확인하십시오.
4. 원격 => 원격(R2R) 이벤트를 확인하십시오. 보고서에서는 R2R 방향 또는 컨텍스트로 이벤트를 식별합니다. 이벤트에 R2R 방향이 있는 경우 소스 및 대상 IP가 둘 다 로컬 네트워크의 일부가 아닌 원격입니다. 이는 원격 네트워크에서 다른 원격 네트워크로 향하는 외부 트래픽이 있음을 의미하며 네트워크 계층 구조의 발생 가능한 잘못된 구성을 나타냅니다.
   1. 이벤트 IP 중 하나가 로컬인지 아니면 둘 다 로컬인지를 고려하고 이를 네트워크 계층 구조에 추가하십시오.
   2. 보고서의 소스 IP, 소스 회사, 대상 IP및 대상 회사 컬럼을 사용하여 네트워크에 로컬인 IP를 식별하십시오.
   3. 로컬 IP 주소를 식별한 후 관리 탭의 네트워크 계층 구조 페이지에서 추가하거나 보고서에서 선택하여 앱에 추가하십시오.
   4. 관리 탭에서 변경사항 배치를 클릭하십시오.
5. 네트워크 계층 구조를 직접 또는 간접적으로 사용하는 룰을 탐색하십시오. 유효 기간이 지난 룰이나 빌딩 블록을 검토하고 업데이트하십시오.
   1. 룰을 자세히 검토하려면 목록에서 하나 선택한 다음 다이어그램에서 확대하십시오. 분할창에 룰 및 BB 아이콘을 끌어오십시오.
   2. 창의 오른쪽 분할창에서 목록 보기 를 클릭한 후 필터링된 BB와 필터링되지 않은 BB 사이를 전환하여 목록을 미세 조정하십시오. "필터링된 BB"는 네트워크 테스트가 포함된 선택한 룰에 대한 종속성을 표시합니다. "모든 BB"는 선택한 룰에서 사용되는 모든 BB를 표시합니다.
   3. 선택한 BB의 종속성 및 종속 항목을 보려면 종속성 트리 표시 를 클릭하십시오.
      종속성은 선택한 빌딩 블록에서 직접 또는 간접적으로 참조됩니다. 종속성을 업데이트하는 경우 빌딩 블록이 영향을 받습니다. 종속 항목은 선택한 BB를 직접 또는 간접적으로 참조합니다. 빌딩 블록을 업데이트하면 해당 종속 항목이 영향을 받습니다.