자산 조정 제외 룰
IBM
QRadar에 입력되는 각 자산 업데이트에서 자산 조정 제외 규칙은 MAC 주소, NetBIOS 호스트 이름, DNS 호스트 이름 및 자산 업데이트의 IP 주소에 테스트를 적용합니다.
기본적으로 각 자산 데이터 조각은 2시간 동안 추적됩니다. 자산 업데이트의 하나의 ID 데이터 조각이 2시간 내에 두 번 이상 의심되는 작동을 보여주면 해당 데이터 조각이 자산 블랙리스트에 추가됩니다. 테스트된 ID 자산 데이터의 각 유형은 새 블랙리스트로 작성됩니다.
팁: QRadar 는 나중에 추론되거나 이벤트에 링크되는 데이터가 아니라 이벤트에서 수신되는 데이터를 기반으로 이벤트를 제외합니다.
도메인 인식 환경에서 자산 조정 제외 룰은 각 도메인에 대해 개별적으로 자산 데이터의 작동을 추적합니다.
자산 조정 제외 룰은 다음 시나리오를 테스트합니다.
| 시나리오 | 룰 응답 |
|---|---|
| MAC 주소가 2시간 이내에 세 개 이상의 서로 다른 IP 주소에 연관되는 경우 | 자산 조정 도메인 MAC 블랙리스트에 MAC 주소 추가 |
| DNS 호스트 이름이 2시간 이내에 세 개 이상의 서로 다른 IP 주소에 연관되는 경우 | 자산 조정 도메인 DNS 블랙리스트에 DNS 호스트 이름 추가 |
| NetBIOS 호스트 이름이 2시간 이내에 세 개 이상의 서로 다른 IP 주소에 연관되는 경우 | 자산 조정 도메인 NetBIOS 블랙리스트에 NetBIOS 호스트 이름 추가 |
| IPv4 주소가 2시간 이내에 세 개 이상의 서로 다른 MAC 주소에 연관되는 경우 | 자산 조정 도메인 IPv4 블랙리스트에 IP 주소 추가 |
| NetBIOS 호스트 이름이 2시간 이내에 세 개 이상의 서로 다른 MAC 주소에 연관되는 경우 | 자산 조정 도메인 NetBIOS 블랙리스트에 NetBIOS 호스트 이름 추가 |
| DNS 호스트 이름이 2시간 이내에 세 개 이상의 서로 다른 MAC 주소에 연관되는 경우 | 자산 조정 도메인 DNS 블랙리스트에 DNS 호스트 이름 추가 |
| IPv4 주소가 2시간 이내에 세 개 이상의 서로 다른 DNS 호스트 이름에 연관되는 경우 | 자산 조정 도메인 IPv4 블랙리스트에 IP 주소 추가 |
| NetBIOS 호스트 이름이 2시간 이내에 세 개 이상의 서로 다른 DNS 호스트 이름에 연관되는 경우 | 자산 조정 도메인 NetBIOS 블랙리스트에 NetBIOS 호스트 이름 추가 |
| MAC 주소가 2시간 이내에 세 개 이상의 서로 다른 DNS 호스트 이름에 연관되는 경우 | 자산 조정 도메인 MAC 블랙리스트에 MAC 주소 추가 |
| IPv4 주소가 2시간 이내에 세 개 이상의 서로 다른 NetBIOS 호스트 이름에 연관되는 경우 | 자산 조정 도메인 IPv4 블랙리스트에 IP 주소 추가 |
| DNS 호스트 이름이 2시간 이내에 세 개 이상의 서로 다른 NetBIOS 호스트 이름에 연관되는 경우 | 자산 조정 도메인 DNS 블랙리스트에 DNS 호스트 이름 추가 |
| MAC 주소가 2시간 이내에 세 개 이상의 서로 다른 NetBIOS 호스트 이름에 연관되는 경우 | 자산 조정 도메인 MAC 블랙리스트에 MAC 주소 추가 |
오펜스 탭에서 이 룰을 보려면 룰을 클릭한 다음 드롭 다운 목록에서 자산 조정 제외 그룹을 선택합니다.