애플리케이션 발견
IBM QRadar Network Insights은(는) 검사기를 사용하여 애플리케이션, 세션 및 프로토콜을 감지합니다.
QRadar Network Insights 7.5.0 에는 프로토콜 구문 분석 개선사항이 포함되어 있으며 이제 페이로드를 분석하여 제품의 이전 버전보다 약 300개더 많은 애플리케이션을 식별할 수 있습니다.
- /opt/ibm/xforce/metadata/protocols.hdr(열 헤더)
- /opt/ibm/xforce/metadata/protocols.csv(값)
애플리케이션 판별 알고리즘
IBM QRadar Network Insights 는 자체 검사기 및 애플리케이션 발견 방법 세트에 의존합니다. QRadar Network Insights, QFlow 알고리즘은 QRadar Network Insights 가 특정 프로토콜을 식별할 수 없는 경우에만 사용됩니다.
| 숫자 값 | 알고리즘 이름 | 설명 |
|---|---|---|
| 2 | 애플리케이션 서명 | 페이로드가 구조화되는 방법을 보는 페이로드 기반 알고리즘입니다. 이 알고리즘은 signatures.xml 파일의 정보를 사용합니다. |
| 3 | 상태 기반 디코딩 | 복합 내부 논리를 사용하는 페이로드 기반 알고리즘입니다. |
| 4 | QRadar 포트 기반 맵핑 | 애플리케이션 맵핑의 사전정의 목록을 사용하는 포트 기반 알고리즘입니다. 이 알고리즘은 /opt/qradar/conf/appid_map.conf 파일의 정보를 사용합니다. |
| 5 | 사용자 포트 기반 맵핑 | 애플리케이션 맵핑의 사용자 정의 가능 목록을 사용하는 포트 기반 알고리즘입니다. 이 알고리즘을 사용하여 새 포트 기반 맵핑을 추가하거나 QRadar와 함께 제공되는 기존 맵핑을 재분류하십시오. 이 알고리즘은 /opt/qradar/conf/user_application_mapping.conf 파일의 정보를 사용합니다. |
| 6 | ICMP 프로토콜 맵핑 | 프로토콜 유형과 코드를 보는 프로토콜 기반 알고리즘입니다. |
| 7 | 플로우 내보내기 프로그램 | 애플리케이션을 판별하기 위해 플로우 내보내기 프로그램에 의존하는 알고리즘입니다. 예를 들어, QFlow 프로세스는 본질적으로 QRadar Network Insights에서 가져온 애플리케이션 ID를 신뢰합니다. |
| 8 | QNI 애플리케이션 서명 | 이 알고리즘은 QRadar Network Insights에서 사용됩니다. |
| 9 | QNI 검사기 | 이 알고리즘은 QRadar Network Insights 7.5.0에서 제거되었습니다. |
| 1,000만 | X-Force 웹 애플리케이션 분류 | 이 알고리즘은 QRadar Network Insights에서 사용됩니다. |
| 11 7.5.0의 새로운 기능 |
QNI 포트 휴리스틱 | 이 알고리즘은 QRadar Network Insights에서 사용됩니다. 이는 애플리케이션이 포트 기반 휴리스틱을 사용하여 식별되며 신뢰도가 낮음을 나타냅니다. |
| 12 7.5.0의 새로운 기능 |
QNI 초기 데이터 | 이 알고리즘은 QRadar Network Insights에서 사용됩니다. 이는 애플리케이션이 플로우 세션의 초기 데이터를 사용하여 식별되며 중간 정도의 신뢰도임을 나타냅니다. |
| 13 7.5.0의 새로운 기능 |
QNI 구문 분석기 | 이 알고리즘은 QRadar Network Insights에서 사용됩니다. 이는 사용 가능한 데이터를 구문 분석하여 애플리케이션이 식별되고 신뢰도가 가장 높음을 나타냅니다. |
