Flujo de trabajo de datos de activos entrantes

IBM QRadar utiliza la información de identidad en una carga útil de suceso para determinar si se crea un activo nuevo o se actualiza un activo existente.

Importante: La generación de activos a partir de flujos IPv6 no está soportada.
Figura 1. Diagrama de flujo de trabajo de datos de activos
Un diagrama de flujo de trabajo que describe cómo QRadar designa datos de activos entrantes para activos existentes o crea un activo nuevo.
  1. QRadar recibe el suceso. El perfilador de activos examina la carga útil del suceso para obtener la información de identidad.
  2. Si la información de identidad incluye una dirección MAC, un nombre de host NetBIOS o un nombre de host DNS que ya están asociados con un activo en la base de datos de activos, entonces ese activo se actualiza con la información nueva.
  3. Si la única información de identidad disponible es una dirección IP, el sistema concilia la actualización del activo existente que tenga la misma dirección IP.
  4. Si una actualización de activo tiene una dirección IP que coincide con un activo existente, pero también el resto de información de identidad no coincide, el sistema utiliza otra información para descartar un falso positivo en la coincidencia antes de que el activo existente se actualice.
  5. Si la información de identidad no coincide con un activo existente en la base de datos, entonces se crea un nuevo activo basado en la información de la carga útil del suceso.