Asset-Zulassungslisten

Sie können Asset-Zulassungslisten verwenden, damit IBM QRadar -Assetdaten nicht versehentlich wieder in den Asset-Blacklists angezeigt werden.

Bei einer Asset-Zulassungsliste handelt es sich um eine Sammlung von Assetdaten, die die Logik der Asset-Abgleichsengine außer Kraft setzt, über die Daten zu einer Asset-Blacklist hinzugefügt werden. Wenn das System eine Blacklist-Übereinstimmung erkennt, überprüft es die Zulassungsliste, um festzustellen, ob der Wert darin vorhanden ist. Wenn die Assetaktualisierung mit Daten übereinstimmt, die in der Zulassungsliste enthalten sind, wird die Änderung abgeglichen und das Asset wird aktualisiert. Assetdaten auf der Zulassungsliste werden global für alle Domänen angewendet.

Sie können das Tool Reference Set Management verwenden, um die Einträge in der Zulassungsliste zu bearbeiten. Informationen zur Arbeit mit Referenzsätzen finden Sie unter Verwaltung von Referenzsätzen.

Beispiel für einen Anwendungsfall einer Zulassungsliste

Die Zulassungsliste ist hilfreich, wenn Sie Assetdaten haben, die weiterhin in den Blacklists angezeigt werden, obwohl es sich um eine gültige Assetaktualisierung handelt. Angenommen, Sie setzen ein Programm für den Lastausgleich per DNS ein, das die Last unter fünf IP-Adressen aufteilt. Über die Ausschlussregeln für den Assetabgleich kann unter Umständen entschieden werden, dass die IP-Adressen, die alle demselben DNS-Hostnamen zugeordnet sind, auf einen abweichenden Assetanstieg hinweisen, mit dem Ergebnis, dass das Programm zum Lastausgleich per DNS der Blacklist hinzugefügt wird. Um dieses Problem zu beheben, können Sie den DNS-Hostnamen zur DNS-Whitelist für Assetabgleich hinzufügen.

Masseneinträge in der Asset-Zulassungsliste

Eine korrekte Assetdatenbank erleichtert das Zuordnen von Angriffen, die im System ausgelöst werden, zu physischen oder virtuellen Assets im Netz. Das Ignorieren von Assetabweichungen durch Hinzufügen von Masseneinträgen zur Asset-Zulassungsliste ist beim Erstellen einer genauen Assetdatenbank nicht hilfreich. Anstatt Masseneinträge zur Zulassungsliste hinzuzufügen, überprüfen Sie die Asset-Blacklist, um zu ermitteln, was zu dem abweichenden Assetzuwachs beiträgt und legen Sie fest, wie dieses Problem behoben werden soll.

Arten von Asset-Zulassungslisten

Jeder Art von Identitätsdaten wird in einer separaten Zulassungsliste gespeichert. In der nachfolgenden Tabelle sind der Referenzdatensammlungsname und -typ aller Identitätsassetdatentypen aufgeführt.

Tabelle 1. Name der Referenzdatensammlung für Daten in der Asset-Zulassungsliste
Datentyp	Referenzdatensammlungsname	Referenzdatensammlungstyp
IP-Adressen	Assetabgleich IPv4 Whitelist	Referenzset [Settyp: IP]
DNS-Hostnamen	DNS-Whitelist für Assetabgleich	Referenzset [Settyp: ALNIC*]
NetBIOS-Hostnamen	NetBIOS-Whitelist für Assetabgleich	Referenzset [Settyp: ALNIC*]
MAC-Adressen	MAC-Whitelist für Assetabgleich	Referenzset [Settyp: ALNIC*]
* ALNIC ist ein alphanumerischer Typ, der sowohl Hostnamen als auch MAC-Adressen enthalten kann.