QRadar Network Insights 어플라이언스가 원시 패킷 데이터를 수신하는지 확인

QRadar Network Insights 어플라이언스가 네트워크 탭 또는 범위 포트에서 원시 패킷 데이터를 수신하는지 확인하려면 다음 단계를 수행하십시오.

시작하기 전에

  • 어플라이언스가 올바르게 케이블링되어 있는지 확인하십시오.

    QRadar Network Insights 어플라이언스에 대한 하드웨어 스펙을 검토하고 이미지를 사용하여 케이블 구성을 확인하십시오.

    스택 어플라이언스에 대해 작업 중인 경우 어플라이언스가 스택 구성에 대해 올바르게 케이블링되어 있는지 확인하십시오. 자세한 정보는 스택 어플라이언스의 케이블링을 참조하십시오.

프로시저

  1. 콘솔에서 SSH를 사용하여 루트 사용자로 QRadar Network Insights 에 로그인하십시오.
  2. 어플라이언스가 기존 네트워크 카드를 사용하는 경우 tcpdump 를 사용하여 트래픽이 네트워크 인터페이스에 도달하는지 확인하십시오.
    tcpdump -ni <interface_name>

    예를 들어, ens3f0에서 캡처하고 5 패킷 이후 중지하려면 tcpdump -ni ens3f0 -c 5을(를) 입력하십시오.

    결과는 다음 예제와 유사할 수 있습니다.
    그림 1. tcpdump 캡처 명령의 결과
    표준 네트워크 인터페이스 카드의 수신 패킷
  3. 어플라이언스가 Napatech 네트워크 인터페이스 카드를 사용하는 경우 다음 명령을 입력하여 트래픽이 네트워크 인터페이스에 연결 중인지 검증하십시오. 
    /opt/napatech3/bin/monitoring
    결과는 다음 예제와 유사할 수 있습니다.
    그림 2. SFP 유형, 링크 상태, Tx 값이 있는 Napatech 모니터.
    Napatech 모니터 보기
    표시된 트래픽이 없는 경우 링크 컬럼을 확인하여 상태가 작동 중지인지 여부를 확인하십시오.
  4. 정확한 SFP 부품 번호를 사용 중인지 확인하십시오.
    1. 사용 중인 SFP 부품 번호를 식별하려면 다음 명령을 입력하십시오.
      grep -i pn /var/log/messages
zgrep -i pn /var/log/messages
    출력은 다음 예제와 유사할 수 있습니다.
    ntservice: Port 3: NIM info: (Vendor: FINISAR CORP., PN: FTLX1471D3BCL, SN: xxxxxx)

    어플라이언스에 대해 지원되는 SFP 부품 번호를 보려면 하드웨어 스펙을 검토 하십시오.