De nouvelles données d'actif sont ajoutées aux listes de blocage d'actifs

Explication

Les règles d'exclusion d'actifs surveillent les données d'actifs par souci de cohérence et d'intégrité. Les règles suivent des données spécifiques d'actifs au fil du temps afin d'assurer qu'elles sont constamment observées avec le même sous-ensemble de données dans un délai raisonnable.

Par exemple, si une mise à jour d'actif comprend à la fois une adresse MAC et un nom d'hôte DNS, l'adresse MAC est associée à ce nom d'hôte DNS pour une période prolongée. Les mises à jour ultérieures d'actifs qui contiennent cette adresse MAC contiennent également ce même nom d'hôte DNS quand un nom d'hôte est inclus dans la mise à jour d'actif. Si l'adresse MAC est soudainement associée à un nom d'hôte DNS différent pendant une brève période, la modification est surveillée. Si l'adresse MAC change à nouveau dans un court délai, l'adresse MAC est signalée comme contribuant à une instance de croissance d'actifs déviante et anormale.

Action utilisateur requise

Utilisez les informations du contenu de notification pour identifier les règles utilisées pour contrôler les données d'actifs. Cliquez sur le lien Ecarts d'actifs par source de journal dans la notification pour voir les écarts d'actifs qui se sont produits dans les dernières 24 heures.

Si les données d'actif sont valides, les administrateurs QRadar peuvent configurer QRadar pour résoudre le problème.

• Si vos listes noires se remplissent trop rapidement, vous pouvez affiner les règles d'exclusion de rapprochement d'actifs qui les remplissent.
• Si vous souhaitez ajouter les données à la base de données d'actifs, vous pouvez supprimer les données d'actif de la liste de blocage et les ajouter à la liste d'actifs correspondante. L'ajout de données d'actifs à la liste blanche les empêche de réapparaître par inadvertance dans la liste noire.