수신 자산 데이터 워크플로우

IBM QRadar 는 이벤트 페이로드의 ID 정보를 사용하여 새 자산을 작성할지 또는 기존 자산을 업데이트할지 여부를 판별합니다.

중요: IPv6 플로우에서의 자산 생성은 지원되지 않습니다.
그림 1. 자산 데이터 워크플로우 다이어그램
QRadar 가 기존 자산에 수신 자산 데이터를 지정하거나 새 자산을 작성하는 방법을 설명하는 워크플로우 다이어그램입니다.
  1. QRadar 는 이벤트를 수신합니다. 자산 프로파일러는 ID 정보에 대한 이벤트 페이로드를 검토합니다.
  2. ID 정보에 자산 데이터베이스의 자산과 이미 연관되어 있는 MAC 주소, NetBIOS 호스트 이름 또는 DNS 호스트 이름이 있으면 해당 자산이 새 정보로 업데이트됩니다.
  3. 유일하게 사용 가능한 ID 정보가 IP 주소이면 시스템이 동일한 IP 주소를 가진 기존 자산에 대한 업데이트를 조정합니다.
  4. 자산 업데이트에 기존 자산과 일치하는 IP 주소가 포함되지만 다른 ID 정보는 일치하지 않는 경우, 시스템은 기존 자산이 업데이트되기 전에 다른 정보를 사용하여 오탐지 일치를 배제합니다.
  5. ID 정보가 데이터베이스의 기존 자산과 일치하지 않으면 이벤트 페이로드의 정보를 기반으로 새 자산이 작성됩니다.