Workflow für eingehende Assetdaten

IBM QRadar verwendet Identitätsinformationen in Ereignisnutzdaten, um zu ermitteln, ob ein neues Asset erstellt oder ein vorhandenes Asset aktualisiert wird.

Wichtig: Die Assetgenerierung aus IPv6 -Datenflüssen wird nicht unterstützt.
Abb. 1. Diagramm des Assetdatenworkflows
Ein Workflowdiagramm, das beschreibt, wie QRadar eingehende Assetdaten für vorhandene Assets bestimmt oder ein neues Asset erstellt.
  1. QRadar empfängt das Ereignis. Asset Profiler prüft die Ereignisnutzdaten auf Identitätsinformationen.
  2. Enthalten die Identitätsinformationen eine MAC-Adresse, einen NetBIOS-Hostnamen oder einen DNS-Hostnamen, die bzw. der bereits einem Asset in der Assetdatenbank zugeordnet ist, wird das Asset mit allen neuen Informationen aktualisiert.
  3. Liegt lediglich eine IP-Adresse als Identitätsinformation vor, gleicht das System das Update mit dem vorhandenen Asset ab, das dieselbe IP-Adresse aufweist.
  4. Wenn ein Asset-Update eine IP-Adresse hat, die mit einem vorhandenen Asset übereinstimmt, aber die anderen Identitätsinformationen nicht übereinstimmen, schließt das System mithilfe anderer Informationen eine falsch-positive Übereinstimmung aus, bevor das vorhandene Asset aktualisiert wird.
  5. Stimmen die Identitätsinformationen nicht mit einem in einer Datendank vorhandenen Asset überein, wird anhand der Informationen in den Ereignisnutzdaten ein neues Asset erstellt.