플로우 집계
IBM QRadar 는 추가 플로우 레코드를 전송하지 않고 단일 플로우에 대한 자세한 정보를 제공하기 위해 정보를 함께 결합합니다. 이 프로세스를 집계라고 합니다.
플로우는 다음 정보를 포함하는 플로우 레코드로 패킷 속성을 정규화하여
두 호스트 사이의 통신 세션을 표시합니다.
- 소스 IP 주소
- 소스 포트
- 대상 IP 주소
- 대상 포트
- 프로토콜
- 플로우 ID(플로우 소스 종속)
- 플로우 소스 도메인 ID ( 7.5.0 업데이트 패키지 7의 새로운 기능)
- VLAN 필드(플로우 소스 종속)
- VXLAN 필드(플로우 소스 종속)
호스트가 계속해서 통신하면 바이트, 패킷 카운터 및 페이로드 캡처와 같은 정보가 단일 플로우 레코드로 집계됩니다. 1분이상 지속되는 통신의 경우 QRadar 는 각 1분간격의 끝에서 플로우의 현재 지표에 대해 보고합니다. 전체 통신 세션은 첫 번째 패킷 시간이 동일하지만 증분 마지막 패킷 시간 값을 갖는 여러 플로우 레코드로 표시됩니다.
속성이 동일하면 플로우 정보가 업데이트됩니다. 하나 이상의 속성이 변경되면 플로우가 고유하다는 가정 하에 플로우 레코드가 작성됩니다.