Configuración de los nombres de usuario que QRadar considera que son usuarios del sistema en sucesos recopilados del registro de sucesos de seguridad de Microsoft Windows

De forma predeterminada, todos los nombres de usuario de los sucesos del registro de sucesos de seguridad de Microsoft Windows que finalizan con un signo de dólar ($) se consideran usuarios del sistema y se excluyen del análisis de sucesos. Si desea cambiar la forma en que IBM QRadar analiza los sucesos, puede utilizar el Editor de DSM para incluir usuarios del sistema.

1. Pulse la pestaña Admin .
2. En la sección Orígenes de datos , pulse Editor de DSM.
3. En la ventana Seleccionar tipo de origen de registro , seleccione Registro de sucesos de seguridad de Windows en la lista y pulse Seleccionar.
4. En la pestaña Configuración , establezca Visualizar configuración de parámetros de DSM en activado.
5. En la lista Recopilador de sucesos , seleccione el recopilador de sucesos para el origen de registro.
6. Si desea que los nombres de usuario que terminen con un signo de dólar ($) siempre se consideren usuarios del sistema, establecer el valor del parámetro Criterios de usuario del sistema en Los nombres de usuario que finalizan con un signo de dólar se consideran usuarios del sistema.
7. Si desea nombres de usuario que terminen con un signo de dólar ($) como usuarios del sistema sólo cuando coincidan con el nombre del sistema, Establezca el valor del parámetro System User Criteria en Los nombres de usuario que finalicen con un signo de dólar si coincide con el nombre de sistema se consideran como usuarios del sistema.
   Sugerencia: Se considera que un nombre de usuario coincide con el nombre del sistema cuando el nombre de usuario (excluido el signo de dólar) es igual al nombre del sistema o, si el nombre del sistema es un nombre de dominio completo, el componente de host del nombre del sistema. Se ignoran las mayúsculas y minúsculas. Por ejemplo, si el nombre de usuario es HOST$ y el nombre del sistema es host o host.example.com, se considera que el nombre de usuario coincide con el nombre del sistema.
8. Si desea que los nombres de usuario que finalizan con un signo de dólar ($) nunca se consideren usuarios del sistema, establezca el valor del parámetro System User Criteria en Los nombres de usuario que finalizan con un signo de dólar no se consideran usuarios del sistema.
9. Pulse Guardar y cierre el Editor de DSM.
   Sugerencia: Si el valor del parámetro Incluir usuario del sistema con (No) identidad se establece en Incluir usuario del sistema sin identidad o Incluir usuario del sistema con identidad, todos los usuarios del sistema se incluyen en el análisis, independientemente del valor del parámetro Criterios de usuario del sistema .