Données d'actif périmées

Les données d'actif périmées peuvent être problématiques lorsque le taux auquel les nouveaux enregistrements d'actifs sont créés dépasse le taux auquel les données d'actif périmées sont supprimées. Le contrôle et la gestion des seuils de conservation des actifs est la clé pour traiter les écarts de croissance des actifs qui sont causés par des données d'actif périmées.

Les données d'actif périmées sont des données d'actif historiques qui ne sont pas activement ou passivement observées dans un délai spécifique. Les données d'actif périmé sont supprimées lorsqu'elles dépassent la période de conservation configurée.

Les enregistrements d'historique redeviennent actifs s'ils sont observés par IBM QRadar de manière passive, via des événements et des flux, ou de manière active, via des scanners de port et de vulnérabilité.

Pour éviter les écarts de croissance des actifs, il est nécessaire de trouver le juste équilibre entre le nombre d'adresses IP autorisées pour un seul actif et la durée pendant laquelle QRadar conserve les données d'actif. Vous devez prendre en compte les compromis de performance et de gérabilité avant de configurer QRadar pour qu'il prenne en charge des niveaux élevés de conservation des données d'actif. Bien que des périodes de conservation plus longues et des seuils par actif plus élevés puissent sembler souhaitables tout le temps, une meilleure approche consiste à déterminer une configuration de base acceptable pour votre environnement et à tester cette configuration. Ensuite, vous pouvez augmenter les seuils de rétention en petites incréments jusqu'à ce que le bon équilibre soit atteint.