Utilice la ventana Orígenes de flujo para gestionar los orígenes de flujo en el despliegue.
Se pueden añadir, habilitar, inhabilitar o suprimir orígenes de flujo.
Conceptos relacionados:
Capítulo 12, “Gestión de orígenes de flujo”
Utilice la ventana Orígenes de flujo para gestionar los orígenes de flujo en el despliegue.
Orígenes de flujo
Para los dispositivos IBM Security QRadar, IBM Security QRadar SIEM añade de forma automática orígenes de flujo para los puertos físicos de los dispositivos. QRadar SIEM también incluye un origen de flujo de NetFlow predeterminado. Si ha instalado QRadar SIEM en su hardware, QRadar SIEM intenta detectar y añadir automáticamente los orígenes de flujo predeterminados para todos los dispositivos físicos, como, por ejemplo, una tarjeta de interfaz de red (NIC). Además, cuando se asigna un QRadar QFlow Collector, QRadar SIEM incluye un origen de flujo de NetFlow predeterminado.
Con QRadar SIEM puede integrar orígenes de flujo. Los orígenes de flujo pueden ser internos o externos:
Orígenes de flujo internos
Incluye el hardware adicional que se instala en un host gestionado, como una tarjeta de interfaz de red (NIC). En función de la configuración de hardware del host gestionado, los orígenes de flujo internos podrían incluir los orígenes siguientes:
v Tarjeta de interfaz de red
v tarjeta de interfaz de supervisión de red Endace v Interfaz de Napatech
Orígenes de flujo externos
Incluye cualquier origen de flujo externo que envíe a QRadar QFlow Collector. Si QRadar QFlow Collector recibe varios orígenes de flujo, puede asignar a cada origen de flujo un nombre diferenciado. Cuando los datos de flujo externos son recibidos por un mismo QRadar QFlow Collector, un nombre diferenciado ayuda a distinguir los datos de origen de flujo externos entre sí.
Los orígenes de flujo externos pueden incluir los orígenes siguientes: v NetFlow
v IPFIX v sFlow v J-Flow
v PacketeerPacketeer
QRadar SIEM puede reenviar datos de origen de flujo externo con el método de suplantación o de no suplantación:
Suplantación
Reenvía los datos de entrada recibidos de los orígenes de flujo a un destino secundario. Para garantizar que los datos de origen de flujo se envían a un destino secundario, configure el parámetro Interfaz de supervisión en la configuración del origen de flujo con el puerto en el que se reciben los datos (puerto de gestión). Cuando se utiliza una interfaz específica,
QRadar QFlow Collector utiliza una captura de modalidad promiscua para obtener datos de origen de flujo, en lugar del puerto de escucha UDP predeterminado en el puerto 2055. Como resultado, QRadar QFlow Collector puede capturar paquetes de origen de flujo y reenviar los datos.
No suplantación
Para el método de no suplantación, configure el parámetro Interfaz de
supervisiónen la configuración del origen de flujo como Cualquiera. QRadar QFlow Collector abre el puerto de escucha, que es el puerto que está configurado como Puerto de supervisión para aceptar datos de origen de flujo. Los datos se procesan y se reenvían a otro destino de origen de flujo. La dirección IP de origen de los datos de origen de flujo se convierte en la dirección IP del sistema de QRadar SIEM, no en el direccionador original que envió los datos.
NetFlow
NetFlow es una tecnología propietaria de contabilidad desarrollada por Cisco Systems. NetFlow supervisa el tráfico de flujos a través de un conmutador o un direccionador, interpreta el cliente, el servidor, el protocolo y el puerto que se utiliza, cuenta el número de bytes y paquetes, y envía los datos a un recopilador de NetFlow.
Al proceso de enviar datos desde NetFlow se le suele llamar NDE (exportación de datos de NetFlow). Puede configurar IBM Security QRadar SIEM para aceptar las NDE y así convertirse en un recopilador de NetFlow. QRadar SIEM da soporte a NetFlow versiones 1, 5, 7 y 9. Para obtener más información sobre NetFlow, consulte el sitio web de Cisco (http://www.cisco.com).
Mientras NetFlow amplía la cantidad de red que se supervisa, NetFlow utiliza un protocolo sin conexión (UDP) para ofrecer las NDE. Después de que una NDE se envíe desde un conmutador o un direccionador, el registro de NetFlow se purga. Como se utiliza UDP para enviar esta información y no se garantiza la entrega de los datos, NetFlow registra los registros inexactos y las funciones de alerta
reducidas. El resultado podría ser presentaciones inexactas de ambos volúmenes de tránsito y flujos bidireccionales.
Cuando configure un origen de flujo externo para NetFlow, debe realizar las tareas siguientes:
v Asegúrese de que las reglas del cortafuegos pertinentes estén configuradas. Si cambia el parámetro External Flow Source Monitoring Port en la configuración de QRadar QFlow Collector, también debe actualizar la configuración del acceso de cortafuegos.
v Asegúrese de que estén configurados los puertos adecuados para QRadar QFlow Collector.
Si utiliza NetFlow versión 9, asegúrese de que la plantilla de NetFlow del origen de NetFlow contenga los campos siguientes:
v FIRST_SWITCHED v LAST_SWITCHED v PROTOCOL v IPV4_SRC_ADDR v IPV4_DST_ADDR v L4_SRC_PORT v L4_DST_PORT v IN_BYTES o OUT_BYTES v IN_PKTS o OUT_PKTS
v TCP_FLAGS (flujos TCP solamente)
Conceptos relacionados:
Capítulo 11, “Editor de despliegue”, en la página 137
Utilice el editor de despliegue para gestionar los componentes individuales de QRadar. Después de configurar el despliegue, puede acceder a los componentes individuales de cada host gestionado del despliegue y configurarlo.
IPFIX
Internet Protocol Flow Information Export (IPFIX) es una tecnología de
contabilidad. IPFIX supervisa el tráfico de flujos a través de un conmutador o un direccionador, interpreta el cliente, el servidor, el protocolo y el puerto que se utiliza, cuenta el número de bytes y paquetes y envía los datos a un recopilador de IPFIX.
IBM Security Network Protection XGS 5000, un sistema de protección frente a intrusiones (IPS) de próxima generación, es un ejemplo de dispositivo que envía tráfico de flujo en formato de flujo IPFIX.
Al proceso de enviar datos de IPFIX se le suele llamar NDE (exportación de datos de NetFlow). IPFIX proporciona más información de flujo y una información más exhaustiva que NetFlow v9. Puede configurar IBM Security QRadar SIEM para que acepte las NDE y así convertirse en un recopilador de IPFIX. IPFIX utiliza UPD (User Datagram Protocol) para distribuir las NDE. Después de que una NDE se envíe desde el dispositivo de reenvío de IPFIX, el registro de IPFIX podría purgarse.
Para configurar QRadar SIEM para que acepte tráfico de flujo de IPFIX, debe añadir un origen de flujo de NetFlow. El origen de flujo de NetFlow procesa los flujos de IPFIX utilizando el mismo proceso.
El sistema de QRadar SIEM podría incluir un origen de flujo de NetFlow predeterminado; por lo tanto, no tendría que configurar un origen de flujo de NetFlow. Para confirmar que el sistema incluye un origen de flujo de NetFlow predeterminado, seleccione Admin > Orígenes de flujo. Si en la lista de orígenes de flujo aparece default_Netflow, IPFIX ya está configurado.
Cuando configure un origen de flujo externo para IPFIX, debe realizar las tareas siguientes:
v Asegúrese de que las reglas del cortafuegos pertinentes estén configuradas. Si cambia el parámetro External Flow Source Monitoring Port en la configuración de QRadar QFlow Collector, también debe actualizar la configuración del acceso
de cortafuegos. Para obtener más información sobre la configuración de QRadar QFlow Collector, consulte la publicación IBM Security QRadar SIEM Guía de
administración.
v Asegúrese de que estén configurados los puertos adecuados para QRadar QFlow Collector.
v Asegúrese de que la plantilla de IPFIX del origen de IPFIX incluye los campos siguientes: v FIRST_SWITCHED v LAST_SWITCHED v PROTOCOL v IPV4_SRC_ADDR v IPV4_DST_ADDR v L4_SRC_PORT v L4_DST_PORT v IN_BYTES o OUT_BYTES v IN_PKTS o OUT_PKTS
v TCP_FLAGS (flujos TCP solamente)
sFlow
sFlow es un estándar de múltiples proveedores y usuarios de la tecnología de muestreo que proporciona una supervisión continua de los flujos de tráfico en el nivel de aplicación en todas las interfaces simultáneamente.
sFlow combina las muestras de flujos y los contadores de interfaz en datagramas sFlow que se envían a través de la red a un recopilador de sFlow. IBM Security QRadar SIEM da soporte a las versiones 2, 4 y 5 de sFlow. El tráfico de sFlow se basa en datos de muestreo y, por lo tanto, podría no representar todo el tráfico de la red. Para obtener más información, consulte el sitio web de sflow
(www.sflow.org).
sFlow utiliza un protocolo sin conexión (UDP). Cuando se envían datos desde un conmutador o un direccionador, el registro de sFlow se purga. Como se utiliza UDP para enviar esta información y no se garantiza la entrega de los datos, sFlow registra los registros inexactos y las funciones de alerta reducidas. El resultado podría ser presentaciones inexactas de ambos volúmenes de tránsito y flujos bidireccionales.
Cuando configure un origen de flujo externo para sFlow, debe realizar las tareas siguientes:
v Asegúrese de que las reglas del cortafuegos pertinentes estén configuradas. v Asegúrese de que estén configurados los puertos adecuados para QRadar VFlow
Collector.
J-Flow
Tecnología de contabilidad propietaria utilizada por Juniper Networks que permite recopilar estadísticas de los flujos de tráfico de IP. J-Flow permite exportar datos a un puerto UDP en un recopilador J-Flow. También puede habilitar J-Flow en un direccionador o una interfaz para recopilar estadísticas de red de ubicaciones específicas de la red. Tenga en cuenta que el tráfico de J-Flow se basa en datos de
muestreo y, por lo tanto, podría no representar todo el tráfico de la red. Para obtener más información sobre J-Flow, consulte el sitio web de Juniper Networks (www.juniper.net).
J-Flow utiliza un protocolo sin conexión (UDP). Cuando se envían datos desde un conmutador o un direccionador, el registro de J-Flow se purga. Como se utiliza UDP para enviar esta información y no se garantiza la entrega de los datos, J-Flow registra los registros inexactos y las funciones de alerta reducidas. El resultado podría ser presentaciones inexactas de ambos volúmenes de tránsito y flujos bidireccionales.
Cuando configure un origen de flujo externo para J-Flow, debe realizar las tareas siguientes:
v Asegúrese de que las reglas del cortafuegos pertinentes estén configuradas. v Asegúrese de que estén configurados los puertos adecuados para QFlow
Collector.
Packeteer
Los dispositivos Packeteer recopilan, agregan y almacenan los datos de rendimiento de la red. Después de configurar un origen de flujo externo para Packeteer, puede enviar información de flujo desde un dispositivo Packeteer a IBM Security QRadar SIEM.
Packeteer utiliza un protocolo sin conexión (UDP). Cuando se envían datos desde un conmutador o un direccionador, el registro de Packeteer se purga. Como se utiliza UDP para enviar esta información y no se garantiza la entrega de los datos, Packeteer registra los registros inexactos y las funciones de alerta reducidas. Podrían darse presentaciones inexactas de ambos volúmenes de tránsito y flujos bidireccionales.
Para configurar Packeteer como un origen de flujo externo, debe realizar las tareas siguientes:
v Asegúrese de que las reglas del cortafuegos pertinentes estén configuradas. v Asegúrese de configurar los dispositivos Packeteer para exportar los registros de
detalle de flujo y de configurar QRadar QFlow Collector como destino de la exportación de datos.
v Asegúrese de que estén configurados los puertos adecuados para QRadar QFlow Collector.
v Asegúrese de que los ID de clase de los dispositivos Packeteer pueden ser detectados automáticamente por QRadar QFlow Collector.
v Para obtener más información, consulte Mapping Packeteer Applications into
QRadar Technical Note.
Archivo de registro de flujos
Un archivo de registro de flujos se genera a partir de los registros de flujos de IBM Security QRadar SIEM.
Interfaz de Napatech
Si ha instalado un adaptador de red Napatech en el sistema de IBM Security QRadar SIEM, la opción Interfaz Napatech se muestra como origen de flujo basado en paquetes configurable en QRadar SIEM. El adaptador de red Napatech es un adaptador de red inteligente y programable de próxima generación para la red. Para obtener más información, consulte la documentación de Napatech .
Adición o edición de un origen de flujo
Utilice la ventana Origen de flujo para añadir un origen de flujo.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Orígenes de datos. 3. En el menú de navegación, pulse Flujos.
4. Pulse Orígenes de flujo. 5. Realice una de estas acciones:
v Para añadir un origen de flujo, pulse Añadir.
v Para editar un origen de flujo, seleccione el origen de flujo y pulse Editar. 6. Para crear este origen de flujo a partir de un origen de flujo existente,
seleccione la casilla de verificación Crear a partir de origen de flujo existente y seleccione un origen de flujo de la lista Utilizar como plantilla.
7. Especifique el nombre en Nombre de origen de flujo.
Consejo: Si el origen de flujo externo también es un dispositivo físico, utilice el nombre de dispositivo como nombre del origen de flujo. Si el origen de flujo no es un dispositivo físico, utilice un nombre reconocible.
Por ejemplo, si desea utilizar tráfico de IPFIX, especifique ipf1. Si desea utilizar tráfico de NetFlow, especifique nf1.
8. Seleccione un origen de flujo de la lista Tipo de origen de flujo y configure las propiedades.
v Si selecciona la opción Archivo de registro de flujos, asegúrese de
configurar la ubicación del archivo de registro de flujos en el parámetro Vía
de acceso de archivo de origen.
v Si selecciona las opciones JFlow, NetFlow, Packeteer FDR o sFlow en el parámetro Tipo de origen de flujo, asegúrese de configurar un puerto disponible en el parámetro Puerto de supervisión.
El puerto predeterminado del primer origen de flujo de NetFlow configurado en la red es 2055. Por cada origen de flujo de NetFlow adicional, el número de puerto predeterminado se incrementa en 1. Por ejemplo, el origen de flujo de NetFlow predeterminado del segundo origen de flujo de NetFlow es 2056.
v Si selecciona la opción Interfaz Napatech, especifique en Interfaz de flujo la interfaz de flujo que desee asignar al origen de flujo.
Restricción: La opción Interfaz Napatech se visualiza solamente si ha instalado el adaptador de red Napatech en el sistema.
v Si selecciona la opción Interfaz de red, en Interfaz de flujo configure solamente un origen de registro para cada interfaz Ethernet.
Restricción: No se pueden enviar distintos tipos de flujo al mismo puerto. 9. Si el tráfico de la red está configurado para seguir rutas alternativas para el
tráficos de entrada y el de salida, seleccione la casilla de verificación Habilitar
flujos asimétricos. 10. Pulse Guardar.
Habilitación e inhabilitación de un origen de flujo
Con la ventana Origen de flujo puede habilitar o inhabilitar un origen de flujo.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Orígenes de datos. 3. En el menú de navegación, pulse Flujos.
4. Pulse el icono Orígenes de flujo.
5. Seleccione el origen de flujo que desee habilitar o inhabilitar. La columna Habilitado indica si el origen de flujo está habilitado o inhabilitado.
Se visualizan los estados siguientes:
v Verdadero indica que el origen de flujo está habilitado.
v Falso indica que el origen de flujo está inhabilitado en ese momento. 6. Pulse Habilitar/inhabilitar.
7. En el menú de la pestaña Admin, pulse Desplegar cambios.
Supresión de un origen de flujo
Utilice la ventana Origen de flujo para suprimir un origen de flujo.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Orígenes de datos. 3. En el menú de navegación, pulse Flujos.
4. Pulse Orígenes de flujo.
5. Seleccione el origen de flujo que desee suprimir. 6. Pulse Suprimir.
7. Pulse Aceptar.
8. En el menú de la pestaña Admin, pulse Desplegar cambios.
Gestión de alias de origen de flujo
Puede utilizar la ventana Alias de origen de flujo para configurar nombres virtuales, o alias, para los orígenes de flujo.
Puede identificar varios orígenes que se envían al mismo QRadar QFlow Collector mediante la dirección IP de origen y el nombre virtual. Con un alias, QRadar QFlow Collector puede identificar de forma exclusiva los orígenes de datos que se envían al mismo puerto y procesarlos.
Cuando QRadar QFlow Collector recibe el tráfico de un dispositivo que tiene una dirección IP, pero no tiene un alias actual, QRadar QFlow Collector intenta una búsqueda DNS inversa. La búsqueda se utiliza para determinar el nombre de host del dispositivo. Si la búsqueda es satisfactoria, QRadar QFlow Collector añade esta información a la base de datos y notifica la información a todos los componentes QRadar QFlow Collector del despliegue.
Utilice el editor de despliegue para configurar QRadar QFlow Collector para que detecte automáticamente los alias de origen de flujo.
Adición de un alias de origen de flujo
Utilice la ventana Alias de origen de flujo para añadir un alias de origen de flujo.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Orígenes de datos. 3. En el menú de navegación, pulse Flujos.
4. Pulse el icono Alias de origen de flujo. 5. Realice una de estas acciones:
v Para añadir un alias de origen de flujo, pulse Añadir y especifique los valores de los parámetros.
v Para editar un alias existente de origen de flujo, seleccione el alias del origen de flujo, pulse Editar y actualice los parámetros.
6. Pulse Guardar.
7. En el menú de la pestaña Admin, pulse Desplegar cambios.
Supresión de un alias de origen de flujo
Utilice la ventana Alias de origen de flujo para suprimir un alias de origen de flujo.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Orígenes de datos. 3. En el menú de navegación, pulse Flujos.
4. Pulse el icono Alias de origen de flujo.
5. Seleccione el alias de origen de flujo que desee suprimir. 6. Pulse Suprimir.
7. Pulse Aceptar.