플로우 콜렉터 구성

플로우 콜렉터 구성 설정을 변경하여 IBM QRadar 가 디바이스에서 수신되는 플로우를 수집하고 처리하는 방법을 관리할 수 있습니다.

다음 표에서는 플로우 콜렉터 구성 매개변수에 대해 설명합니다.
표 1. 플로우 콜렉터 구성 매개변수
매개변수 설명
최대 컨텐츠 캡처 플로우 콜렉터 가 캡처하여 플로우 페이로드에 보유할 최대 데이터 양 (패킷당 바이트 수) 을 지정하십시오.
최대 데이터 캡처/패킷 플로우 콜렉터 가 분석할 최대 데이터 양 (패킷당 바이트 수) 을 지정하십시오.
플로우 버퍼 크기 메모리에 버퍼링할 수 있는 최대 플로우 수를 지정합니다.
최대 플로우 수 1분간격 내에 플로우 콜렉터 에서 Flow Processor 로 전송할 최대 플로우 수를 지정하십시오.
별명 자동 발견 QRadar이(가) 플로우 소스를 자동으로 발견할 수 있도록 하려면 예로 설정하십시오.

자동 감지가 켜진 상태에서 QRadar 는 라우터와 같은 외부 플로우 소스에 대한 플로우 소스 별명을 자동으로 작성할 수 있습니다.
중복 플로우 제거 플로우 콜렉터 가 중복 플로우를 제거하도록 하려면 이를 예 로 설정하십시오.

네트워크에 비대칭 트래픽이 있는 경우 이 매개변수를 아니오로 설정하십시오.
NetFlow 순서 번호 검증 플로우 콜렉터 가 수신 NetFlow 순서 번호를 확인하여 모든 패킷이 순서대로 존재하는지 확인하도록 하려면 이를 예 로 설정하십시오.

QRadar 는 패킷이 누락되었거나 올바르지 않은 순서로 수신된 경우 알림을 표시합니다.
외부 플로우 중복 제거 방법 중복된 외부 플로우를 제거하는 데 사용할 방법을 선택합니다.
  • 원래 플로우 소스를 비교하려면 소스를 선택하십시오.

    이 방법은 현재 외부 플로우 레코드를 내보낸 디바이스의 IP 주소를 플로우의 첫 번째 외부 레코드를 내보낸 디바이스의 IP 주소와 비교합니다. IP 주소가 일치하지 않으면 현재 외부 플로우 레코드가 버려집니다.

  • 개별 외부 플로우 레코드를 비교하려면 레코드를 선택하십시오.

    이 방법은 디바이스에서 발견된 모든 외부 플로우 레코드 목록을 로그하고 각 후속 레코드를 해당 목록과 비교합니다. 현재 레코드가 목록에 있으면 해당 레코드는 버려집니다.

    이 방법을 선택하는 경우 외부 플로우 레코드 비교 마스크 매개변수도 설정해야 합니다.
플로우 이동 시간 QFlow 프로세스가 일방 플로우를 보유하는 시간 (초) 을 지정하십시오. 기본 설정은 6초입니다.

이 설정을 사용하면 QRadar 가 플로우 응답을 수신할 수 있습니다. 이월 기간에 해당하는 플로우는 다음 보고 간격 때까지 전송되지 않습니다.
외부 플로우 레코드 비교 마스크 외부 플로우 레코드를 비교하는 데 사용할 방법을 지정합니다.

이 매개변수는 외부 플로우 중복 제거에 사용할 방법으로 레코드를 선택한 경우에만 유효합니다.

외부 플로우 레코드를 비교할 때 사용할 플로우 레코드 필드를 선택할 수 있습니다.
  • D(Direction, 방향)
  • B(ByteCount, 바이트 수)
  • P(PacketCount, 패킷 수)
플로우 레코드 필드를 결합하여 다음 조합을 포함할 수 있습니다.
  • DBP 옵션은 방향, 바이트 수 및 패킷 수를 사용합니다.
  • XBP 옵션은 바이트 수와 패킷 수를 사용합니다.
  • DXP 옵션은 방향과 패킷 수를 사용합니다.
  • DBX 옵션은 방향과 바이트 수를 사용합니다.
  • DXX 옵션은 방향을 사용합니다.
  • XBX 옵션은 바이트 수를 사용합니다.
  • XXP 옵션은 패킷 수를 사용합니다.
수퍼플로우 작성 QRadar이(가) 유사한 특성을 가진 플로우를 하나의 플로우 레코드로 그룹화하도록 하려면 이를 예로 설정하십시오.
유형 A 수퍼플로우(네트워크 스캔) QRadar 가 유형 A (일대다) 수퍼플로우를 작성하기 전에 도달할 임계값을 지정하십시오.
유형 B 수퍼플로우(DDos) QRadar 가 유형 B (다대일) 수퍼플로우를 작성하기 전에 도달할 임계값을 지정하십시오.
유형 C 수퍼플로우(포트 스캔) QRadar 가 유형 C (일대일) 수퍼플로우를 작성하기 전에 도달할 임계값을 지정하십시오.
비대칭 플로우 재결합 QRadar이(가) 비대칭 플로우를 다시 결합하도록 하려면 이를 예로 설정하십시오.
비대칭 수퍼플로우 무시 비대칭 플로우가 사용으로 설정된 경우 QRadar이(가) 수퍼플로우를 작성하도록 하려면 이를 예로 설정하십시오.
공통 대상 포트 사용 QRadar이(가) 플로우 방향의 반전 여부를 결정하도록 하려면 이를 예로 설정하십시오.

프로시저

  1. 탐색 메뉴 ( 탐색 메뉴 아이콘 ) 에서 관리를 클릭하십시오.
  2. 시스템 구성 섹션에서 시스템 및 라이센스 관리를 클릭하십시오.
  3. 표시 목록에서 시스템을 선택하고 구성할 플로우 콜렉터 를 선택하십시오.
  4. 배치 조치 메뉴에서 호스트 편집을 클릭하십시오.
  5. 구성요소 관리옆에 있는 기어 아이콘을 클릭하십시오.
  6. 구성 옵션을 편집하고 저장을 클릭하십시오.
  7. 배치의 각 플로우 콜렉터 에 대해 구성 단계를 반복하십시오.
  8. 시스템 및 라이센스 관리 창을 닫으십시오.
  9. 변경사항을 배치하십시오.
    그러면 수정한 모든 관리 호스트에서 QFlow 프로세스가 다시 시작됩니다.