Veraltete Assetdaten

Veraltete Assetdaten können problematisch sein, wenn die Rate, in der neue Assetdatensätze erstellt werden, die Rate überschreitet, in der Assetdaten entfernt werden. Der Schlüssel zur Kontrolle von Abweichungen beim Assetwachstum, die durch veraltete Assetdaten verursacht werden, ist die Steuerung und Verwaltung von Schwellenwerten für die Assetaufbewahrung.

Veraltete Assetdaten sind archivierte Assetdaten, die innerhalb eines bestimmten Zeitraums weder aktiv noch passiv betrachtet werden. Veraltete Assetdaten werden gelöscht, sobald sie die konfigurierte Aufbewahrungsdauer überschreiten.

Die Protokolldatensätze werden wieder aktiv, wenn sie von IBM QRadar passiv über Ereignisse und Datenflüsseoder aktiv über Port-und Schwachstellenscanner beobachtet werden.

Um Abweichungen beim Assetwachstum zu verhindern, müssen Sie das richtige Gleichgewicht zwischen der Anzahl der für ein einzelnes Asset zulässigen IP-Adressen und dem Zeitraum, in dem QRadar die Assetdaten aufbewahrt, finden. Sie müssen die Kompromisse bei Leistung und Verwaltbarkeit berücksichtigen, bevor Sie QRadar konfigurieren, um ein hohes Maß an Assetdatenaufbewahrung zu ermöglichen. Längere Aufbewahrungszeiten und höhere Schwellenwerte pro Asset mögen zwar zu jeder Zeit wünschenswert sein, aber besser ist es, eine Referenzkonfiguration festzulegen, die für Ihre Umgebung akzeptabel ist, und diese Konfiguration zu testen. Anschließend können Sie die Aufbewahrungsschwellenwerte in kleinen Inkrementen erhöhen, bis die richtige Balance erreicht ist.