룰 성능 시각화

규칙 성능 시각화는 QRadar 파이프라인에서 성능 저하 및 비용이 많이 드는 사용자 정의 규칙을 중심으로 현재 로깅을 확장합니다. 룰 성능 시각화를 사용하면 룰 페이지에서 직접 QRadar 파이프라인 내 룰의 효율성을 쉽게 판별할 수 있습니다.

룰 성능 시각화를 켜면 성능 컬럼이 룰 페이지에 추가됩니다. 성능 컬럼은 사용자 정의 룰 엔진에서 성능 문제가 발생하기 전까지는 공백입니다.

이벤트 또는 플로우가 스토리지로 라우팅되면 QRadar 는 효율성 측정을 위해 사용으로 설정된 규칙에 대한 지표 수집을 시작합니다. 지표는 모든 이벤트, 공통, 플로우 룰에서 수집됩니다. 룰 업데이트를 저장하면 업데이트된 룰과 성능 관련 혼란을 방지하기 위해 업데이트한 룰에 대한 지표를 지웁니다. 이 옵션은 관리자에 의해 구성 가능합니다.

성능 지표로 룰을 정렬하고 고가의 룰을 식별할 수 있습니다. 룰을 검토할 때 각 룰을 최적화하고 시스템에서 로드를 줄이도록 테스트를 조정할 수 있습니다.

룰 성능 시각화를 통해 룰의 비용을 확인합니다. QRadar 운영 팀은 비용이 많이 드는 규칙을 모니터하여 향후 성능 문제가 발생하지 않는지 확인할 수 있습니다.

룰을 효율적으로 실행하면 시스템의 워크로드가 감소할 수 있습니다. 시간이 경과함에 따라 이 효율성은 QRadar 가 규칙을 둘러싼 성능 저하를 방지하는 데 도움이 될 수 있습니다. 이로 인해 규칙은 규칙 상관을 무시합니다. 그러면 잠재적으로 의심스러운 활동으로 알림이 트리거되지 않습니다(잠재적으로 향후 보안 관련 문제가 누락됨).

튜닝 규칙에 대한 자세한 내용은 IBM® QRadar® 튜닝 가이드에서 확인할 수 있습니다.

룰에 대한 지표 보기

룰 페이지의 오른쪽 아래에 있는 성능 분석 텍스트 상자와 성능 컬럼에 있는 색상 지정된 막대에 마우스 포인터를 이동하면 룰 페이지에서 룰의 지표를 볼 수 있습니다. 룰을 편집할 때 룰 마법사에서 룰의 지표도 볼 수 있습니다. 룰의 지표가 업데이트되면 성능 분석 텍스트 상자의 시간소인이 표시됩니다. 규칙 작성에 대한 자세한 정보는 규칙 주제를 참조하십시오.

네트워크 보기 탭 또는 로그 보기 탭에서 룰을 클릭하여 룰 페이지를 표시하십시오. 룰을 두 번 클릭하여 룰 마법사를 여십시오.

룰 페이지의 성능 컬럼에서 색상 및 막대

표시되는 막대 수는 색맹을 위한 시각적 보조 도구입니다.

하나의 빨간색 막대

룰이 성능 이하이며 튜닝이 필요합니다. 이 룰에 대한 EPS/FPS 처리량이 한계의 하한보다 낮습니다. 룰을 열고 테스트를 튜닝하십시오.

두 개의 주황색 막대

룰에 튜닝이 필요할 수 있습니다.

세 개의 녹색 막대

룰이 EPS/FPS 임계값의 상한을 초과하는 높은 처리량을 보입니다.

주: 색상 및 막대 수는 변경할 수 없습니다. 낮은 성능에 해당하는 룰의 정의는 관리자가 구성 가능합니다.

다음 이미지는 QRadar의 기본 사용자 정의 룰 설정을 보여줍니다.

규칙 튜닝에 대한 자세한 정보는 사용자 정의 규칙 테스트 순서를 참조하십시오.