플로우 검사 레벨
플로우 검사 레벨은 네트워크 플로우에서 분석 및 추출되는 데이터의 양과 개별 파일 컨텐츠가 분석되는지 여부를 판별합니다. IBM QRadar Network Insights 는 구성된 플로우 검사 레벨에 관계없이 모든 패킷의 전체 페이로드를 검사합니다.
기본적으로 플로우 검사 레벨은 관리 탭의 시스템 설정에 구성된 글로벌 설정입니다. 이 설정은 배치의 모든 어플라이언스에 적용됩니다. IBM QRadar Network Insights 6200, 6600및 6610어플라이언스의 경우 각 어플라이언스에 대한 사용자 정의 플로우 검사 레벨을 구성하여 글로벌 설정을 대체할 수 있습니다.
스택 구성의 경우 각 스택의 검사 레벨이 서로 다를 수도 있지만 하나의 스택 내에 있는 어플라이언스의 검사 레벨은 모두 동일해야 합니다.
기본 검사 레벨
기본 레벨은 플로우 검사의 최저 레벨입니다. 이 레벨은 최고 대역폭을 지원하지만 최소한의 플로우 정보를 생성합니다.
기본 플로우 검사 레벨을 사용하여 QRadar Network Insights 에서 캡처하는 속성은 심층 패킷 검사를 수행하지 않는 라우터 또는 네트워크 스위치에서 얻는 속성과 유사합니다. 여기에는 다음 유형의 정보가 포함됩니다.
- 소스 및 대상 정보
- 네트워크 프로토콜
- 애플리케이션 ID
- 바이트 및 패킷 카운터
- 최초 및 최종 패킷 시간
- 서비스 품질(QoS)
- VLAN 태그
기본 검사 레벨에서 QRadar Network Insights 는 네트워크 통신에 대한 정보를 캡처하는 데이터 플로우를 작성합니다. 데이터 플로우는 페이로드 샘플을 포함하며 바이트 및 패킷 크기 카운터를 표시합니다. 기본 검사 레벨은 QRadar QFlow 프로세스와 동일한 정보를 수집합니다.
강화 검사 레벨
강화 검사 레벨에서는, 프로토콜 또는 도메인 검사기 중 하나로 각 플로우가 식별되고 검사되며 이 검사에서 많은 종류의 속성이 생성될 수 있습니다.
- 사용자 이름, 이메일 주소, 대화 ID
- 검색 인수
- 호스트 정보
- HTTP FTP, SMTP, SSH, SSL 및 TLS 필드
- DNS 조회 및 응답
- VXLAN, GRE 또는 ERSPAN의 터널 정보
- 파일 이름, 유형, 크기, 해시 및 엔트로피
- 마지막 프록시, XFF, True Client IP
- 의심스러운 컨텐츠
- 웹 카테고리
- 구성 가능한 컨텐츠 기반 사용 불가능 컨텐츠(YARA 룰)
강화 및 고급 검사 레벨에서 QRadar Network Insights 는 데이터 플로우와 컨텐츠 플로우를 모두 작성합니다. 컨텐츠 플로우는 심층 검사 레벨의 데이터 플로우 내부에 있는 항목을 표시합니다. 컨텐츠 플로우는 페이로드 샘플을 포함하지 않으며 모든 바이트 및 패킷 카운터가 0으로 표시됩니다. 이는 플로우 ID 필드별로 데이터 플로우에 링크됩니다.
다음 방식으로 컨텐츠 플로우를 식별할 수 있습니다.
- 플로우 정보 창에서 플로우 유형 필드에 표준 플로우(컨텐츠 플로우)가 표시됩니다.
- 네트워크 보기 탭에서, 플로우 유형 아이콘에 대한 도구 팁이 표준 플로우(컨텐츠 플로우)를 표시합니다.
고급 검사 레벨
고급 검사는 최상위 레벨의 검사입니다. 전송된 파일 컨텐츠의 포괄적인 분석을 통해 강화된 검사 레벨에서 추출되는 플로우 속성을 기반으로 빌드됩니다.
- 컨텐츠 추출
- 개인 정보 감지
- 기밀 데이터 감지
- 임베디드 스크립트
- 경로 재지정
- 추가 파일 메타데이터
고급 검사 레벨도 내용 분석을 수행하며 강화 레벨보다 더 많은 사용 불가능 컨텐츠 값을 생성할 수 있습니다. 예를 들어, 고급 검사 레벨로 설정되면 QRadar Network Insights 는 파일 내에서 자세히 검토하여 PDF 또는 Microsoft 문서에 임베드된 스크립트와 같은 의심스러운 컨텐츠를 식별합니다.
강화된 레벨과 유사하게, 데이터 플로우의 심층 검사 레벨을 수행하는 동안 QRadar Network Insights 에서 찾은 내용을 표시하기 위해 컨텐츠 플로우가 작성됩니다.