Konfigurieren von QRadar®, um nur den ersten Benutzernamen aus der Meldung zu erfassen

Wenn Sie die Art und Weise ändern möchten, wie Ereignisse IBM QRadar verarbeitet IBM Security QRadar EDR , verwenden Sie den DSM-Editor, um nur den ersten Benutzernamen aus dem Alert zu erfassen.

Standardmäßig erfasst QRadar EDR DSM alle Benutzernamen aus dem Alert, kombiniert sie in einer durch Kommas getrennten Liste und stellt sie in das Feld username .

Vorgehensweise

  1. Klicken Sie auf der Registerkarte Verwaltung im Abschnitt Datenquellen auf DSM-Editor.
  2. Wählen Sie im Fenster Protokollquellentyp auswählen in der Liste IBM Security QRadar EDR aus und klicken Sie auf Auswählen.
  3. Legen Sie auf der Registerkarte Konfiguration DSM-Parameterkonfiguration anzeigen auf onfest.
  4. Wählen Sie in der Liste Ereigniskollektor den Ereigniskollektor für die Protokollquelle aus.
  5. Setzen Sie Get First Username auf on.
  6. Klicken Sie auf Speichern und schließen Sie den DSM-Editor.