通常のサイズしきい値を超えるアセット・プロファイルのトラブルシューティング

IBM QRadar は、単一のアセット下でのデータの累積がアイデンティティー・データに対して構成されているしきい値制限を超えると、以下のシステム通知を生成します。

The system detected asset profiles that exceed the normal size threshold

説明

通知のペイロードに、最も頻繁に異常が発生する上位 5 件のアセットのリストと、システムで各アセットが異常な増加としてマークされた理由が示されます。 次の例に示すように、ペイロードにはアセットがアセット・サイズしきい値を超えて増加しようとした状況の発生回数も示されます。
Feb 13 20:13:23 127.0.0.1 [AssetProfilerLogTimer] 
com.q1labs.assetprofile.updateresolution.UpdateResolutionManager: 
[INFO] [NOT:0010006101][192.0.2.83/- -] [-/- -]
The top five most frequently deviating asset profiles between 
Feb 13, 2015 8:10:23 PM AST and Feb 13, 2015 8:13:23 PM AST: 
[ASSET ID:1003, REASON:Too Many IPs, COUNT:508], 
[ASSET ID:1002, REASON:Too many DNS Names, COUNT:93], 
[ASSET ID:1001, REASON:Too many MAC Addresses, COUNT:62]

アセット・データが構成済みのしきい値を超えると、 QRadar はアセットの今後の更新をブロックします。 この介入により、今後システムが破損データを受信することが防止され、システムが異常に大きなアセット・プロファイルに対して受信した更新を調整しようとする場合に発生するパフォーマンスへの影響を緩和できます。

必要なユーザー処置

通知ペイロードの情報を使用して、異常なアセット増加の原因であるアセットを特定し、異常な増加の原因を判別します。 この通知には、過去 24 時間に異常なアセット増加が発生したすべてのアセットのレポートへのリンクが含まれています。

環境内で異常なアセット増加を解決したら、このレポートを再度実行できます。
  1. 「ログ・アクティビティー」 タブをクリックし、 検索 > 「新規検索」をクリックします。
  2. 「異常なアセット増加: アセット・レポート (Deviating Asset Growth: Asset Report)」という保存済み検索を選択します。
  3. このレポートを使用して、異常発生中に作成された不正確なアセット・データを特定して修復します。