Assetdatenquellen

Assetdaten werden aus verschiedenen Quellen in Ihrer IBM QRadar -Implementierung empfangen.

Assetdaten werden inkrementell in die Assetdatenbank geschrieben, üblicherweise jeweils zwei oder drei Datenelemente. Mit Ausnahme von Updates aus Scannern, die nach Sicherheitslücken im Netz suchen, enthält jedes Asset-Update nur Informationen zu jeweils einem Asset.

Assetdaten stammen in der Regel von einer der folgenden Assetdatenquellen:
Ereignisse
Ereignisnutzdaten, beispielsweise von DHCP- oder Authentifizierungsservern erstellt, enthalten oftmals Benutzeranmeldedaten, IP-Adressen, Hostnamen, MAC-Adressen und andere Assetinformationen. Diese Daten werden der Assetdatenbank unverzüglich bereitgestellt, damit festgestellt werden kann, für welches Asset das Asset-Update gilt.

Ereignisse, die die Hauptursache für Abweichungen in Assetzuwächsen sind

Abläufe
Datenflussnutzdaten enthalten Kommunikationsinformationen wie IP-Adresse, Port und Protokoll, die in regelmäßigen, konfigurierbaren Intervallen abgerufen werden. Am Ende jedes Intervalls werden die Daten - jeweils immer eine IP-Adresse - der Assetdatenbank bereitgestellt.

Da die Assetdaten aus Datenflüssen auf Grundlage einer einzelnen ID (der IP-Adresse) paarweise verbunden werden, sind die Datenflussdaten niemals die Ursache für Abweichungen im Assetanstieg.

Wichtig: Die Assetgenerierung aus IPv6 -Datenflüssen wird nicht unterstützt.
Schwachstellen-Scanner
Wichtig: Der IBM QRadar Vulnerability Manager -Scanner ist das Ende des Lebenszyklus (EOL) in 7.5.0 Update Package 6 und wird in keiner Version von IBM QRadarmehr unterstützt. Weitere Informationen finden Sie unter QRadar Vulnerability Manager: End of service product notification (https://www.ibm.com/support/pages/node/6853425).
QRadar kann mit Schwachstellenscannern von IBM und anderen Anbietern kombiniert werden, die Assetdaten wie das Betriebssystem, installierte Software und Patchinformationen bereitstellen können. Der Datentyp ist scannerabhängig und kann je nach Scanvorgang variieren. Wenn neue Assets, Portinformationen und Sicherheitslücken entdeckt werden, fließen die Daten auf Grundlage der im Scan definierten CIDR-Bereiche in das Assetprofil ein.

Scanner können Abweichungen im Assetanstieg verursachen, was jedoch nur selten der Fall ist.

Benutzerschnittstelle
Benutzer mit zugewiesener 'Assets'-Rolle können Assetinformationen direkt in die Assetdatenbank importieren bzw. ihr zur Verfügung stellen. Asset-Updates, die ein Benutzer direkt bereitstellt, beziehen sich auf ein bestimmtes Asset. Deshalb wird der Assetabgleich übergangen.

Von Benutzern bereitgestellte Asset-Updates verursachen keine Abweichungen im Assetanstieg.

Domänenunterstützte Assetdaten

Wenn eine Assetdatenquelle mit Domäneninformationen konfiguriert ist, werden sämtliche Assetdaten aus dieser Datenquelle automatisch mit derselben Domäne markiert. Da die Daten im Assetmodell domänensensitiv sind, werden die Domäneninformationen auf alle QRadar -Komponenten angewendet, einschließlich Identitäten, Angriffe, Assetprofile und Servererkennung.

Beim Anzeigen des Assetprofils sind manche Felder unter Umständen leer. Leere Felder sind vorhanden, wenn das System diese Informationen nicht in einem Asset-Update empfangen hat oder wenn die Informationen die Asset-Aufbewahrungsdauer überschritten haben. Der Standardaufbewahrungszeitraum ist 120 Tage. Eine IP-Adresse, die als 0.0.0.0 erscheint, zeigt an, dass das Asset keine IP-Adressinformationen enthält.