자산 데이터에 대한 업데이트

IBM QRadar 는 이벤트 페이로드의 ID 정보를 사용하여 새 자산을 작성할지 또는 기존 자산을 업데이트할지 여부를 판별합니다.

각 자산 업데이트에는 단일 자산에 대한 신뢰할 수 있는 정보가 있어야 합니다. QRadar 가 자산 업데이트를 수신하면 시스템은 업데이트가 적용되는 자산을 판별합니다.

자산 조정은 자산 업데이트와 자산 데이터베이스의 관련 자산 간의 관계를 판별하는 프로세스입니다. 자산 조정은 QRadar 가 업데이트를 수신한 후 정보가 자산 데이터베이스에 기록되기 전에 발생합니다.

ID 정보

모든 자산에는 하나 이상의 ID 데이터 조각이 포함되어야 합니다. 동일한 ID 데이터의 조각이 하나 이상 포함된 후속 업데이트는 해당 데이터를 소유한 자산을 사용하여 조정됩니다. IP 주소를 기반으로 한 업데이트는 오탐지 자산 일치를 피하도록 주의 깊게 처리됩니다. False Positive 자산 일치는 하나의 실제 자산에 시스템의 다른 자산이 이전에 소유했던 IP 주소의 소유권이 지정될 때 이루어집니다.

여러 조각의 ID 데이터가 제공되면 자산 프로파일러가 다음 결정적인 순서대로 정보의 우선순위를 지정합니다.

MAC 주소
NetBIOS 호스트 이름
DNS 호스트 이름
IP 주소

MAC 주소, NetBIOS 호스트 이름, DNS 호스트 이름은 고유해야 하므로 정의 ID 데이터로 구성됩니다. IP 주소만 기준으로 하여 기존 자산을 일치시키는 수신 업데이트는 추가 정의 ID 데이터를 일치시키는 업데이트와 다르게 처리됩니다.