Utilice las recopilaciones de datos de referencia para identificar datos obsoletos, como cuentas de usuario caducadas, en el entorno de IBM
QRadar .
Acerca de esta tarea
De forma predeterminada, los datos de referencia permanecen en QRadar hasta que se eliminan. Sin embargo, al crear una recopilación de datos de referencia, puede configurar QRadar para eliminar los datos después de un periodo de tiempo especificado.
Cuando el elemento de datos caduca, QRadar suprime automáticamente el valor de la recopilación de datos de referencia y desencadena un suceso para realizar un seguimiento de la caducidad.
Procedimiento
- Cree un conjunto de referencia para hacer un seguimiento del tiempo transcurrido desde la última vez que un usuario
inició la sesión.
- Establezca el Tiempo de vida de elementos para representar el periodo de tiempo después del cual una cuenta de usuario no utilizada se considera caducada.
- Seleccione el botón Desde última vista .
- Cree una regla de suceso personalizada para añadir datos de inicio de sesión, como username, al conjunto de referencia.
Nota: QRadar realiza un seguimiento de la Fecha de última visualización para cada elemento de datos. Si no se han añadido datos para un
usuario concreto dentro del periodo de tiempo de vida, el elemento del conjunto de referencia caduca y se desencadena
un suceso de Caducidad de datos de referencia. El suceso contiene el nombre de conjunto de
referencia y el nombre de usuario que ha caducado.
- Utilice la pestaña Actividad de registro para realizar un seguimiento de los sucesos de Caducidad de datos de referencia .
Qué hacer a continuación
Utilice los datos de conjunto de referencia en búsquedas, filtros, condiciones de prueba de regla y respuestas
de regla.