アセット・データへの更新

IBM QRadar は、イベント・ペイロード内のアイデンティティー情報を使用して、新規アセットを作成するか、既存のアセットを更新するかを決定します。

各アセット更新には、単一のアセットに関するトラステッド情報が含まれている必要があります。 QRadar がアセット更新を受け取ると、更新が適用されるアセットがシステムによって決定されます。

アセット調整 とは、アセット更新とアセット・データベース内の関連アセットとの間の関係を判別するプロセスのことです。 資産調整は、 QRadar が更新を受信した後、情報が資産データベースに書き込まれる前に行われます。

アイデンティティー情報

すべてのアセットには、少なくとも 1 つのアイデンティティー・データが含まれている必要があります。 その同じアイデンティティー・データが 1 つ以上含まれている後続の更新は、そのデータを所有するアセットで調整されます。 IP アドレスに基づく更新は、フォールス・ポジティブのアセット一致を回避するために注意深く処理されます。 フォールス・ポジティブのアセット一致は、1 つの物理アセットに、システム内の別のアセットが以前に所有していた IP アドレスの所有権が割り当てられているときに起きます。

複数のアイデンティティー・データが含まれている場合、アセット・プロファイラーは以下の順序 (最も確度の高いデータから最も確度の低いデータの順) で情報に優先順位を付けます。
  • MAC アドレス
  • NetBIOS ホスト名
  • DNS ホスト名
  • IP アドレス

MAC アドレス、NetBIOS ホスト名、DNS ホスト名はそれぞれ固有の値であるため、確度の高いアイデンティティー・データとみなされます。 受け取った更新で、IP アドレスしか既存のアセットと一致しないものは、より限定的なアイデンティティー・データと一致する更新とは異なる方法で処理されます。