Neue Assetdaten werden zu den Asset-Blockierlisten hinzugefügt

IBM QRadar generiert die folgende Systembenachrichtigung, wenn ein Teil der Assetdaten ein Verhalten aufweist, das mit dem abweichenden Assetanstieg konsistent ist.

Die Asset-Blacklist-Regeln haben neue Assetdaten zu den
Asset-Blacklists hinzugefügt

Erläuterung

Die Assetausschlussregeln überwachen die Ausschlussregel hinsichtlich Konsistenz und Integrität. Innerhalb eines Zeitablaufs verfolgen sie bestimmte Teile von Assetdaten, um sicherzustellen, dass diese innerhalb einer angemessenen Dauer mit demselben Subset an Daten beobachtet werden.

Beispiel: Wenn ein Asset-Update eine MAC-Adresse und einen DNS-Hostnamen enthält, wird die MAC-Adresse über einen längeren Zeitraum hinweg diesem DNS-Hostnamen zugeordnet. Nachfolgende Asset-Updates, welche diese MAC- Adresse enthalten, enthalten auch denselben DNS-Hostnamen, wenn ein Hostname im Asset-Update enthalten ist. Wird die MAC-Adresse für kurze Zeit plötzlich einem anderen DNS-Hostnamen zugeordnet, wird diese Änderung überwacht. Ändert sich die MAC-Adresse innerhalb einer kurzen Zeit erneut, wird sie als abweichender oder anormaler Assetanstieg gekennzeichnet.

Erforderliche Benutzeraktion

Identifizieren Sie mithilfe der Benachrichtigungsnutzdaten die Regeln, mit denen die Assetdaten überwacht werden. Klicken Sie in der Benachrichtigung auf den Link Assetabweichungen nach Protokollquelle, um die Assetabweichungen der letzte 24 Stunden anzuzeigen.

Wenn die Assetdaten gültig sind, können QRadar Administratoren QRadar konfigurieren, um das Problem zu lösen.

  • Wenn die Blockierlisten erheblich anwachen, können Sie die zum Füllen verwendeten Regeln für den Assetabgleich-Ausschluss optimieren.
  • Wenn Sie die Daten zur Assetdatenbank hinzufügen möchten, können Sie die Assetdaten aus der Blockierliste entfernen und sie der entsprechenden Asset-Zulassungsliste hinzufügen. Das Hinzufügen der Assetdaten zur Zulassungsliste verhindert, dass sie versehentlich erneut auf der Blockierliste erscheinen.