Decoder:(オプション)すべてのタイプのネットワーク インタフェースでデータを収集するDecoderの構成

Document created by RSA Information Design and Development on Apr 19, 2018
Version 1Show Document
  • View in full screen mode
 

packet_mmap_,ALLアダプタは、すべてのタイプのネットワーク インタフェースで同時に収集できます。たとえば、異なるメディア タイプとトンネルのインタフェースの物理ネットワーク インタフェースなどを含めることができます。

ALLアダプタのデフォルトの動作は、lo eth0em1のハード コードされたデフォルトを除いて、システムからすべてのインタフェースから収集します。

NetWitness Suite 11.0では、 interfaces=パラメータを含むようにDecoder構成ノード/decoder/config/capture.device.params を編集して、収集インタフェースのサブセットを選択できます。 interfacesパラメータには、収集のために使用されるインタフェースのコンマ区切りのリストが含まれています。すべてのインタフェースを収集に使用するのではなく、指定したインタフェースのみが使用されます。

たとえば、インタフェースem1em2em4上で収集を強制し、em3を無視する場合、packet_mmap_,ALLアダプタを選択し、さらにこの行をcapture.device.params: interfaces=em1,em2,em4に追加できます。

注: interfacesパラメータを使用して eth0loem1を選択すると、デフォルトの動作が上書きされ、これらのポートからトラフィックがドロップされます。

packet_mmap_,ALLアダプタを構成して、すべてのインタフェースではなく特定のインタフェースから収集するには、次の手順に従います。

  1. [管理]の[サービス]ビューで、Decoderサービスを選択し、The actions menu>[表示]>[構成]を選択します。
  2. サービスの[構成]ビューで、[収集インタフェースの選択]をpacket_mmap_,ALLアダプタに設定します。
    This is an example of a Config Value drop-down.
  3. サービスの[エクスプローラ]ビューに移動するには、ツールバーで[構成]をクリックし、ドロップダウン リストで[探索]を選択します。
  4. サービスの[エクスプローラ]ビューで、[Decoder]>[構成]を選択します。
    This is an example of the Explore view with decoder > config selected.
  5. capture.device.paramsの横にある値の列をクリックし、interfaces=em1,em2,em4を入力して、Enterキーを押します。
    This is an example of the Explore view after changes.
    変更は即座に有効になります。em1em2em4インタフェース上のトラフィックのみが収集されます。
You are here
Table of Contents > Decoderでの一般的な設定の構成 > 収集設定の構成 > (オプション)すべてのタイプのネットワーク インターフェイスでデータを収集するDecoderの構成

Attachments

    Outcomes