アセット調整除外ルール
IBM
QRadarに入力されるアセット更新ごとに、アセット調整除外ルールは、アセット更新の MAC アドレス、 NetBIOS ホスト名、DNS ホスト名、および IP アドレスにテストを適用します。
デフォルトでは、各アセット・データが追跡される期間は 2 時間です。 アセット更新内のいずれかのアイデンティティー・データが 2 時間以内に複数回の疑わしい振る舞いを示す場合、そのデータはアセット・ブラックリストに追加されます。 テストされるアイデンティティー・アセット・データのタイプごとに、新しいブラックリストが作成されます。
ヒント: QRadar は、後でイベントに推論またはリンクされるデータではなく、イベントで受信したデータに基づいてイベントを除外します。
ドメイン認識環境では、アセット調整除外ルールは、ドメインごとにアセット・データの振る舞いを別個に追跡します。
アセット調整除外ルールは、以下のシナリオをテストします。
| シナリオ | ルールの応答 |
|---|---|
| MAC アドレスが 2 時間以内に 3 つ以上の異なる IP アドレスに関連付けられる場合 | MAC アドレスをアセット調整ドメイン MAC ブラックリストに追加する |
| DNS ホスト名が 2 時間以内に 3 つ以上の異なる IP アドレスに関連付けられる場合 | DNS ホスト名をアセット調整ドメイン DNS ブラックリストに追加する |
| NetBIOS ホスト名が 2 時間以内に 3 つ以上の異なる IP アドレスに関連付けられる場合 | NetBIOS ホスト名をアセット調整ドメイン NetBIOS ブラックリストに追加する |
| IPv4 アドレスが 2 時間以内に 3 つ以上の異なる MAC アドレスに関連付けられる場合 | IP アドレスをアセット調整ドメイン IPv4 ブラックリストに追加する |
| NetBIOS ホスト名が 2 時間以内に 3 つ以上の異なる MAC アドレスに関連付けられる場合 | NetBIOS ホスト名をアセット調整ドメイン NetBIOS ブラックリストに追加する |
| DNS ホスト名が 2 時間以内に 3 つ以上の異なる MAC アドレスに関連付けられる場合 | DNS ホスト名をアセット調整ドメイン DNS ブラックリストに追加する |
| IPv4 アドレスが 2 時間以内に 3 つ以上の異なる DNS ホスト名に関連付けられる場合 | IP アドレスをアセット調整ドメイン IPv4 ブラックリストに追加する |
| NetBIOS ホスト名が 2 時間以内に 3 つ以上の異なる DNS ホスト名に関連付けられる場合 | NetBIOS ホスト名をアセット調整ドメイン NetBIOS ブラックリストに追加する |
| MAC アドレスが 2 時間以内に 3 つ以上の異なる DNS ホスト名と関連付けられる場合 | MAC アドレスをアセット調整ドメイン MAC ブラックリストに追加する |
| IPv4 アドレスが 2 時間以内に 3 つ以上の異なる NetBIOS ホスト名に関連付けられる場合 | IP アドレスをアセット調整ドメイン IPv4 ブラックリストに追加する |
| DNS ホスト名が 2 時間以内に 3 つ以上の異なる NetBIOS ホスト名に関連付けられる場合 | DNS ホスト名をアセット調整ドメイン DNS ブラックリストに追加する |
| MAC アドレスが 2 時間以内に 3 つ以上の異なる NetBIOS ホスト名に関連付けられる場合 | MAC アドレスをアセット調整ドメイン MAC ブラックリストに追加する |
これらのルールは、「オフェンス」タブで、「ルール」をクリックし、ドロップダウン・リストで「アセット調整除外」グループを選択することで表示できます。