Konfigurieren, welche Benutzernamen QRadar als Systembenutzer in Ereignissen betrachtet, die aus dem Microsoft Windows -Sicherheitsereignisprotokoll erfasst werden

Standardmäßig werden alle Benutzernamen in Microsoft Windows Security Event Log-Ereignissen, die mit einem Dollarzeichen ($) enden, als Systembenutzer betrachtet und vom Ereignisparsing ausgeschlossen. Wenn Sie die Art und Weise ändern möchten, wie IBM QRadar Ereignisse analysiert, können Sie den DSM-Editor verwenden, um Systembenutzer einzuschließen.

Vorgehensweise

  1. Klicken Sie auf die Registerkarte Verwaltung .
  2. Klicken Sie im Abschnitt Datenquellen auf DSM-Editor.
  3. Wählen Sie im Fenster Protokollquellentyp auswählen in der Liste Windows Security Event Log aus und klicken Sie auf Auswählen.
  4. Setzen Sie Display DSM Parameters Configuration auf der Registerkarte Configuration auf "on".
  5. Wählen Sie in der Liste Ereigniskollektor den Ereigniskollektor für die Protokollquelle aus.
  6. Wenn Benutzernamen, die mit einem Dollarzeichen ($) enden, immer als Systembenutzer betrachtet werden sollen, Setzen Sie den Wert des Parameters Systembenutzerkriterien auf Benutzernamen, die mit Einem Dollarzeichen enden, werden als Systembenutzer betrachtet.
  7. Wenn Sie Benutzernamen, die mit einem Dollarzeichen ($) enden, als Systembenutzer nur wenn sie mit dem Computernamen übereinstimmenverwenden wollen, setzen Sie den Parameterwert System User Criteria auf Benutzernamen, die mit einem Dollarzeichen enden, wenn sie mit dem Computernamen übereinstimmen, werden als Systembenutzer betrachtet..
    Tipp: Es wird davon ausgegangen, dass ein Benutzername mit dem Computernamen übereinstimmt, wenn der Benutzername (mit Ausnahme des Dollarzeichens) dem Computernamen oder, wenn der Computername ein vollständig qualifizierter Domänenname ist, der Hostkomponente des Computernamens entspricht. Die Groß-/Kleinschreibung wird ignoriert. Wenn der Benutzername beispielsweise HOST$ lautet und der Computername host oder host.example.comlautet, wird der Benutzername als Übereinstimmung mit dem Computernamen betrachtet.
  8. Wenn Benutzernamen, die mit einem Dollarzeichen ($) enden, nie als Systembenutzer betrachtet werden sollen, setzen Sie den Wert des Parameters System User Criteria auf Benutzernamen, die mit einem Dollarzeichen enden, werden nicht als Systembenutzer betrachtet.
  9. Klicken Sie auf Speichern und schließen Sie den DSM-Editor.
    Tipp: Ist der Wert des Parameters Systembenutzer mit Identität einschließen (Nein) auf Systembenutzer ohne Identität einschließen oder Systembenutzer mit Identität einschließengesetzt, werden alle Systembenutzer in das Parsing eingeschlossen. unabhängig vom Wert des Parameters Systembenutzerkriterien .