원시 페이로드 데이터 캡처의 크기 구성

IBM QRadar Network Insights 를 사용하여 원시 페이로드 데이터를 추출할 수 있습니다.

각 어플라이언스의 최대 원시 페이로드 크기 는 QRadar Network Insights 글로벌 설정에서 상속됩니다.

이 태스크에 대한 정보

초기 설치 시 IBM QRadar Network Insights 는 최대 64바이트의 원시 페이로드 데이터를 캡처하도록 구성됩니다. 페이로드 데이터 캡처를 중지하려면 최대 원시 페이로드 크기를 0으로 설정하십시오.

글로벌 설정을 변경하면 글로벌 설정을 사용하도록 구성된 모든 QRadar Network Insights 어플라이언스가 새 값을 상속합니다. 업데이트된 설정은 설정이 변경된 후 추가하는 새 어플라이언스에도 적용됩니다.

QRadar Network Insights 6200, 6600및 6610어플라이언스의 경우 사용자 정의 최대 원시 페이로드 크기 설정을 구성하여 글로벌 설정을 대체할 수 있습니다. 사용자 정의 설정을 사용하도록 어플라이언스가 구성된 후에는 글로벌 설정에 대한 변경사항의 영향을 받지 않습니다. 어플라이언스에서 글로벌 설정을 사용하도록 되돌리려는 경우 호스트 연결을 편집하여 최대 원시 페이로드 크기를 글로벌로 설정해야 합니다.

참고:

원시 페이로드 크기는 32 768바이트까지 증가시킬 수 있지만 페이로드가 증가하면 성능에 영향을 미칠 수 있습니다. 바이트 크기가 조금씩 증가하도록 조정하면서 짧은 시간 내에 가득 차지 않도록 디스크 용량을 모니터하십시오.

QRadar Network Insights 최대 원시 페이로드의 크기가 QFlow 컨텐츠 캡처 길이보다 크면 일부 페이로드가 잘릴 수 있습니다. QFlow 캡처의 크기가 QRadar Network Insights 페이로드 크기와 같거나 큰지 확인하십시오. 플로우에 대한 자세한 정보는 플로우 소스를 참조하십시오.

프로시저

  1. 관리자로 QRadar에 로그인하십시오.
  2. 글로벌 설정을 구성하려면 다음 단계를 수행하십시오.
    1. 관리 탭에서 시스템 설정을 클릭하십시오.
    2. QRadar Network Insights 설정을 클릭하십시오.
    3. 최대 원시 페이로드 크기에서 캡처하려는 최대 데이터 양을 선택하십시오.

      페이로드 데이터 캡처를 끄려면 최대 원시 페이로드 크기를 0으로 설정하십시오.

      사용자 정의 최대 원시 페이로드 크기 설정을 사용하는 어플라이언스는 글로벌 설정에 대한 변경사항의 영향을 받지 않습니다. 사용자 정의 어플라이언스는 개별적으로 구성해야 합니다.

    4. 저장을 클릭하십시오.
  3. 개별 QRadar Network Insights 어플라이언스에 대한 설정을 구성하려면 다음 단계를 수행하십시오.
    1. 관리 탭에서 시스템 및 라이센스 관리를 클릭하십시오.
    2. 수정할 어플라이언스를 선택하고 배치 조치 > 호스트 연결 편집을 클릭하십시오.
    3. 플로우 콜렉터 및 플로우 소스 연결을 설정하고 저장을 클릭하십시오.
    4. 어플라이언스의 최대 원시 페이로드 크기 를 지정하십시오.

      사용자 정의 최대 원시 페이로드 크기를 사용하도록 구성된 어플라이언스는 글로벌 설정에 대한 추후 변경사항의 영향을 받지 않습니다.

    5. 다음 을 클릭한 후 저장을 클릭하십시오.
  4. 관리 탭의 메뉴 표시줄에서 고급 > 전체 구성 배치를 클릭하십시오.
    경고: 전체 구성을 배치하면 QRadar 서비스가 다시 시작됩니다. 해당 시간 중에는 이벤트 및 플로우가 수집되지 않고 오펜스가 생성되지 않습니다.
  5. 웹 브라우저를 새로 고치십시오.