네트워크 활동 모니터링

IBM QRadar 는 네트워크의 디바이스가 서로 통신하는 방법에 대한 정보를 수집합니다. 네트워크에서 발생하는 통신 기록을 플로우라고 합니다.

QRadar에서 플로우는 네트워크 보기 탭에 표시되며 이를 볼 수 있는 권한이 있어야 합니다.

기본적으로 네트워크 보기 탭에는 스트림 모드로 플로우가 표시됩니다. 이미 수신된 플로우를 분석하기 위해 스트림 모드를 일시정지한 후 검색을 수행하고 플로우에 필터를 적용할 수 있습니다.

이전에 저장된 검색을 기본값으로 구성한 경우, 네트워크 보기 탭에 액세스하면 해당 검색의 결과가 자동으로 표시됩니다.

이벤트와 플로우의 차이

이벤트는 단일 시점에 네트워크에서 발생한 활동의 레코드입니다. 이는 발생한 활동과 관련 자산에 대한 정보를 제공합니다. 예를 들어, 사용자가 방화벽에 대해 인증을 시도했지만 실패한 경우 방화벽은 시스템 로그를 QRadar에 전송합니다. 인증 시도는 이벤트로 기록됩니다. 로그 보기 탭에서 이벤트에 대한 정보를 확인합니다.

이벤트와 달리, 플로우는 시간 경과에 따라 발생하는 네트워크 활동입니다. 플로우 레코드는 디바이스가 네트워크에서 서로 통신할 때 보내고 받은 실제 메시지를 보여줍니다. 예를 들어 사용자가 이메일을 보내거나 웹 페이지로 이동하거나 파일을 다운로드하거나 소셜 미디어를 사용할 때 플로우가 표시될 수 있습니다. 웹 요청은 이미지나 광고와 같은 파일을 몇 초 동안 다운로드하거나 사용자가 동영상을 시청 중인 경우 몇 시간 동안 지속될 수 있습니다.

이벤트와 비교했을 때, 플로우 트래픽은 네트워크에 발생하고 있는 것에 대한 전체 보기를 제공합니다. 이벤트가 발생하기 전후와 발생하는 동안 무슨 일이 발생했는지를 보여줍니다.