Updates von Assetdaten

IBM QRadar verwendet Identitätsinformationen in Ereignisnutzdaten, um zu bestimmen, ob ein neues Asset erstellt oder ein vorhandenes Asset aktualisiert wird.

Jedes Asset-Update muss zuverlässige Informationen zu einem einzelnen Asset enthalten. Wenn QRadar eine Assetaktualisierung empfängt, bestimmt das System, für welche Anlage die Aktualisierung gilt.

Als Assetabgleich bezeichnet man das Ermitteln der Beziehung zwischen Asset-Updates und dem zugehörigen Asset in der Assetdatenbank. Der Assetabgleich erfolgt, nachdem QRadar die Aktualisierung empfangen hat, aber bevor die Informationen in die Assetdatenbank geschrieben werden.

Identitätsinformationen

Jedes Asset muss mindestens ein Identitätsdatenteil enthalten. Nachfolgende Updates, die mindestens ein Teil derselben Identitätsdaten enthalten, werden mit dem Asset abgeglichen, das Eigentümer dieser Daten ist. Updates auf der Grundlage von IP-Adressen werden mit Vorsicht ausgeführt, um falsch-positive Assetübereinstimmungen zu vermeiden. Zu falsch-positiven Assetübereinstimmungen kommt es, wenn einem physischen Asset die Eigentümerschaft an einer IP-Adresse zugewiesen wird, die zuvor Eigentum eines anderen Assets im System war.

Werden mehrere Identitätsdatenteile bereitgestellt, priorisiert Asset Profiler die Informationen in folgender Reihenfolge (von der am meisten deterministischen zur am wenigsten deterministischen Information):
  • MAC-Adresse
  • NetBIOS-Hostname
  • DNS-Hostname
  • IP-Adresse

MAC-Adressen, NetBIOS- und DNS-Hostnamen sind eindeutig und gelten daher als verbindliche Identitätsdaten. Eingehende Updates, die ein vorhandenes Asset nur anhand der IP-Adresse abgleichen, werden anders behandelt als Updates, die anhand verbindlicherer Identitätsdaten abgleichen.