일반 크기 임계값을 초과하는 자산 프로파일 문제점 해결

IBM QRadar 는 단일 자산 아래의 데이터 누적이 ID 데이터에 대해 구성된 임계값 한계를 초과할 때 다음 시스템 알림을 생성합니다.

The system detected asset profiles that exceed the normal size threshold

설명

알림 페이로드는 가장 자주 편차가 발생하는 상위 5개의 자산 목록 및 시스템이 각 자산을 증가 편차로 표시하는 이유를 표시합니다. 또한 페이로드는 다음 예제와 같이 자산이 자산 크기 임계값을 초과하여 증가되었던 횟수를 표시합니다.
Feb 13 20:13:23 127.0.0.1 [AssetProfilerLogTimer] 
com.q1labs.assetprofile.updateresolution.UpdateResolutionManager: 
[INFO] [NOT:0010006101][192.0.2.83/- -] [-/- -]
The top five most frequently deviating asset profiles between 
Feb 13, 2015 8:10:23 PM AST and Feb 13, 2015 8:13:23 PM AST: 
[ASSET ID:1003, REASON:Too Many IPs, COUNT:508], 
[ASSET ID:1002, REASON:Too many DNS Names, COUNT:93], 
[ASSET ID:1001, REASON:Too many MAC Addresses, COUNT:62]

자산 데이터가 구성된 임계값을 초과하면 QRadar 는 향후 업데이트에서 자산을 차단합니다. 이와 같은 개입을 통해 시스템이 손상된 데이터를 추가로 수신하는 것을 방지할 수 있고 시스템이 비정상적으로 큰 자산 프로파일에 대해 수신 업데이트를 조정하려는 경우 발생할 수 있는 성능 영향을 줄일 수 있습니다.

필수 사용자 조치

알림 페이로드의 정보를 사용하여 자산 증가 편차에 기여하는 자산을 식별하고 비정상적 증가의 원인을 판별할 수 있습니다. 알림은 지난 24시간 동안 자산 증가 편차가 발생한 모든 자산에 대한 보고서 링크를 제공합니다.

환경에서 자산 증가 편차를 해결한 후 보고서를 다시 실행할 수 있습니다.
  1. 로그 보기 탭을 클릭하고 검색 > 새 검색을 클릭하십시오.
  2. 자산 증가 편차: 자산 보고서 저장된 검색을 선택하십시오.
  3. 보고서를 사용하여 편차 중에 작성된 부정확한 자산 데이터를 식별하고 복구하십시오.