Mises à jour des données d'actifs
Chaque mise à jour d'actifs doit contenir des informations fiables au sujet d'un actif unique. Lorsque QRadar reçoit une mise à jour d'actif, le système détermine l'actif auquel la mise à jour s'applique.
Le rapprochement d'actifs est le processus de détermination de la relation entre les mises à jour d'actifs et l'actif connexe dans la base d'actifs. Le rapprochement des actifs a lieu après que QRadar a reçu la mise à jour, mais avant que les informations soient écrites dans la base de données des actifs.
Informations d'identité
Chaque actif doit contenir au moins une donnée d'identité. Les mises à jour ultérieures qui contiennent une ou plusieurs de ces mêmes données d'identité sont rapprochées avec l'actif qui possède ces données. Les mises à jour qui sont basées sur les adresses IP sont manipulées avec précaution pour éviter les correspondances d'actifs faux positifs. Les correspondances d'actifs constituant des faux positifs se produisent lorsqu'un actif physique devient propriétaire d'une adresse IP qui appartenait auparavant à un autre actif du système.
- Adresse MAC
- Nom d'hôte NetBIOS
- Nom d'hôte DNS
- Adresse IP
Les adresses MAC, les noms d'hôte NetBIOS et les noms d'hôte DNS sont uniques et sont par conséquent considérés comme des données d'identité définitives. Les mises à jour entrantes qui correspondent à un actif existant seulement par l'adresse IP sont gérées différemment des mises à jour qui correspondent à des données d'identité plus définitives.