防止资产增长偏差

资产阻止列表

资产阻止列表是 JSA 根据资产对账排除规则认为不可信的数据集合。资产阻止列表中的数据可能会导致资产增长偏差，JSA 会阻止将数据添加到资产数据库中。

JSA 中的每个资产更新都会与资产阻止列表进行比较。列入黑名单的资产数据将全局应用于所有域。如果资产更新包含在阻止列表中找到的身份信息（MAC 地址、NetBIOS 主机名、DNS 主机名或 IP 地址），则传入的更新将被丢弃，并且不会更新资产数据库。

下表显示了每种身份资产数据类型的引用集合名称和类型。

ALNIC 是一种字母数字类型，可以容纳主机名和 MAC 地址值。

您可以使用 引用集管理工具 编辑阻止列表条目。有关使用引用集的信息，请参阅 《瞻博网络安全分析管理指南》。

JSA 管理员可以修改阻止列表条目，以确保正确处理新资产数据。

资产许可名单

您可以使用资产允许列表来防止 JSA 资产数据无意中重新出现在资产阻止列表中。

资产 允许列表 是资产数据的集合，它覆盖资产对帐引擎关于哪些数据被添加到资产黑名单的逻辑。当系统识别出与阻止列表匹配项时，它会检查允许列表以查看该值是否存在。如果资产更新与允许名单上的数据匹配，则会协调更改并更新资产。系统会全局为所有网域应用列入许可名单的资产数据。

您可以使用 引用集管理工具 编辑允许列表条目。有关使用引用集的信息，请参阅 《瞻博网络安全分析管理指南》。

您的 JSA 管理员可以修改允许列表条目，以确保正确处理新资产数据。

使用引用集实用程序更新资产阻止列表和允许列表

您可以使用 JSA 引用集实用程序添加或修改资产阻止列表或允许列表中的条目。

要管理引用集，请从 JSA 控制台上的 /opt/qradar/bin 运行ReferenceDataUtil.sh该实用程序。

下表介绍了用于向每个列表添加新值的命令。参数值必须与原始资产数据源提供的资产更新值完全匹配。

使用 RESTful API 更新阻止列表和允许列表

您可以使用 JSA RESTful API 自定义资产阻止列表和允许列表的内容。

必须指定要查看或更新的引用集的确切名称。

• 资产对账 IPv4 黑名单

• 资产对账 DNS 黑名单

• 资产对账网络BIOS黑名单

• 资产对账 MAC 黑名单

• 资产对账 IPv4 白名单

• 资产对账 DNS 白名单

• 资产对账 NetBIOS 白名单

• 资产对账 MAC 白名单

1. 在 Web 浏览器中键入以下 URL 以访问 RESTful API 接口：

   https://ConsoleIPaddress/api_doc

2. 在左侧导航窗格中，找到 4.0>/reference_data >/sets > /{name}。

3. 要查看资产阻止列表或允许列表的内容，请执行以下步骤：

   1. 单击 GET 选项卡并向下滚动到参数部分。

   2. 在名称参数的值字段中，输入要查看的资产阻止列表或允许列表的名称。

   3. 单击“试用”并在屏幕底部查看结果。

4. 要向资产阻止列表或允许列表添加值，请按照以下步骤操作：

   1. 单击开机自检选项卡并向下滚动到参数部分。

   2. 键入以下参数的值：

      表 4：添加新资产数据所需的参数

      参数名称	参数说明
      名字	表示要更新的引用集合的名称。
      价值	表示要添加到资产阻止列表或允许列表的数据项。必须与原始资产数据源提供的资产更新值完全匹配。

   3. 单击“试用”，将新值添加到资产允许列表或资产阻止列表。

有关使用 RESTful API 更改引用集的更多信息，请参阅瞻 博网络安全分析 API 指南。

身份排除搜索和黑名单之间的差异

虽然身份排除搜索似乎具有与资产黑名单类似的功能，但存在显着差异。

黑名单只能指定要排除的原始资产数据，例如 MAC 地址和主机名。身份排除搜索根据搜索字段（如日志源、类别和事件名称）筛选出资产数据。

黑名单不考虑提供数据的数据源类型，而身份排除搜索只能应用于事件。身份排除搜索可以根据常见的事件搜索字段（例如事件类型、事件名称、类别和日志源）阻止资产更新。

创建身份排除搜索

要从向资产数据库提供资产数据中排除某些事件，可以创建 JSA 身份排除搜索。

为搜索创建的筛选器必须与要排除的事件匹配，而不是与要保留的事件匹配。

您可能会发现针对系统中已有的事件运行搜索很有帮助。但是，保存搜索时，必须在“时间跨度”选项中选择“实时（流式处理）”。如果不选择此设置，则搜索在针对进入 JSA 的事件的实时流运行时，将不会匹配任何结果。

更新保存的身份排除搜索而不更改名称时，资产概述器使用的身份排除列表将更新。例如，您可以编辑搜索以添加对要排除的资产数据的更多筛选。将包含新值，并在保存搜索后立即开始资产排除。

1. 创建搜索以标识不向资产数据库提供资产数据的事件。

   1. 在 日志活动 选项卡上，单击 搜索>新建搜索。

   2. 通过添加搜索条件和筛选器来创建搜索，以匹配要从资产更新中排除的事件。

   3. 在“ 时间范围 ”框中，选择“ 实时（流式处理） ”，然后单击“ 筛选器 ”以运行搜索。

   4. 在搜索结果屏幕上，单击“保存 条件 ”并提供保存的搜索的信息。

      注意：

      您可以将保存的搜索分配给搜索组。“ 身份验证、身份和用户活动 ”文件夹中存在“身份排除”搜索组。

   5. 单击 “确定 ”保存搜索。

2. 标识您创建的搜索作为身份排除搜索。

   1. 在导航菜单 （） 上，单击 管理员。

   2. 在“ 系统配置 ”部分中，单击“ 资产概述配置”。

   3. 单击屏幕底部的 “管理身份排除 ”。

   4. 从左侧的搜索列表中选择您创建的身份排除搜索，然后单击添加图标 （>）。

      提示：

      如果找不到搜索内容，请在列表顶部的筛选器中键入前几个字母。

   5. 单击 保存。

3. 在“ 管理员 ”选项卡上，单击“ 部署更改 ”以使更新生效。

对规则应用不同的优化

可能需要对系统不同部分中的规则应用不同的优化。若要对规则应用不同的优化，必须复制要优化的资产对帐排除规则，并添加一个或多个测试来约束规则，以便仅测试系统的某些部分。例如，您可能希望创建仅测试网络、日志源或事件类型的规则。

向系统添加新规则时，请始终小心，因为某些任务和 CRE 规则可能会影响系统性能。将新规则添加到每个测试堆栈的顶部可能会有所帮助，以便在资产更新与新规则的条件匹配时允许系统绕过测试逻辑的其余部分。

1. 复制规则。

   1. 在“攻击”选项卡上，单击“规则”，然后选择要复制的规则。

   2. 单击操作>重复。

      如果新规则的名称指示复制它的原因，则会很有帮助。

2. 向规则添加测试。

   确定要用于仅将规则应用于系统数据子集的筛选器。例如，您可以添加仅匹配来自特定日志源的事件的测试。

3. 调整规则的变量以实现所需的行为。

4. 更新原始规则。

   1. 将添加到重复规则的相同测试添加到原始规则，但这次反转规则AND和AND NOT运算符。

      反转运算符可防止在两个规则中触发事件。

将 IP 地址列入黑名单

在这种环境下，默认的资产对账排除规则无意中在短时间内将整个网络列入黑名单。

您的安全团队发现 wifi 段生成的与资产相关的通知令人讨厌。您希望防止 wifi 触发任何偏离资产增长的通知。

调整资产对帐规则以忽略某些资产更新

您可以在上一个系统通知中查看日志 源的资产偏差 报告。您确定列入黑名单的数据来自 wifi 上的 DHCP 服务器。

与“资产排除： 按 MAC 地址排除 IP”规则对应的行的“事件计数”、“流计数”列和“违规”列中的值表示您的 wifi DHCP 服务器正在触发此规则。

您可以向现有资产对帐排除规则添加测试，以阻止规则将 wifi 数据添加到黑名单。

应用资产排除：在本地系统检测到的事件上按 MAC 地址排除 IP，而不是在一个或多个 MicrosoftDHCP @ microsoft.dhcp.test.com 检测到事件时排除;当任何域是密钥且任何身份 IP 是任何资产对帐域中的值时，则不排除 IPv4 白名单 - IP 资产对账域 IPv4 黑名单 - IP 以及看到至少 3 个具有相同身份 IP 的事件时和不同的身份 MAC 在 2 小时内。

更新后的规则仅测试不在 wifi DHCP 服务器上的日志源中的事件。为了防止 wifi DHCP 事件经历更昂贵的引用集和行为分析测试，您还将此测试移到了测试堆栈的顶部。