IP-Adressüberschneidungen
Bei einer IP-Adressüberschneidung handelt es sich um eine IP-Adresse, die in einem Netz mehreren Geräten oder logischen Einheiten (z. B. einem Ereignisquellentyp) zugewiesen ist. Sich überschneidende IP-Adressbereiche können große Probleme verursachen für Unternehmen, die nach einer Firmenübernahme Netze zusammenführen, oder für Managed Security Service Provider (MSSPs), die neue Clients einbringen.
IBM QRadar muss Ereignisse und Datenflüsse unterscheiden können, die von verschiedenen Einheiten stammen und dieselbe IP-Adresse haben. Ist eine IP-Adresse mehreren Ereignisquellen zugewiesen, können Sie Domänen erstellen, um zwischen den Quellen zu unterscheiden.
Betrachten wir zum Beispiel eine Situation, in der Unternehmen A Unternehmen B übernimmt und eine gemeinsam genutzte Instanz von QRadar verwenden möchte, um die Assets des neuen Unternehmens zu überwachen. Das übernommene Unternehmen hat eine ähnliche Netzstruktur, was dazu führt, dass für verschiedene Protokollquellen in jedem Unternehmen dieselbe IP-Adresse verwendet wird. Verschiedene Protokollquellen mit derselben IP-Adresse verursachen Probleme bei der Korrelation, Berichterstellung, Suche und Assetprofilerstellung.
Zur Unterscheidung des Ursprungs der Ereignisse und Datenflüsse , die in QRadar von der Protokollquelle eingehen, können Sie zwei Domänen erstellen und jede Protokollquelle einer anderen Domäne zuordnen. Bei Bedarf können Sie auch jeden Ereigniskollektor, Datenflusskollektor oder Datengateway derselben Domäne wie die Protokollquelle zuordnen, die Ereignisse an sie sendet.
Um die eingehenden Ereignisse nach Domäne anzuzeigen, können Sie eine Suche erstellen und die Domäneninformationen in die Suchergebnisse einschließen.