Ejemplo: Asignaciones de privilegio de dominio según propiedades personalizadas

Si los archivos de registro contienen información que desea utilizar en una definición de dominio, puede exponer la información como propiedad de suceso personalizada.

Una propiedad personalizada se asigna a un dominio en función del resultado de la captura. Puede asignar la misma propiedad personalizada a varios dominios, pero los resultados de captura deben ser diferentes.

Por ejemplo, una propiedad de suceso personalizada, como por ejemplo userID, puede evaluar un solo usuario o a una lista de usuarios. Cada usuario puede pertenecer a un solo dominio.

En el diagrama siguiente, los orígenes de registro contienen información de identificación de usuario que se expone como una propiedad personalizada, userID. El recopilador de sucesos o pasarela de datos devuelve dos archivos de usuario y cada usuario se asigna a un solo dominio. En este caso, un usuario se asigna al Dominio: 9 y el otro usuario se asigna al Dominio: 12.

Figura 1. Asignación de dominios utilizando una propiedad de suceso personalizada
User1 se asigna al dominio: 9 y User2 se asigna al dominio: 12.

Si los resultados de captura devuelven un usuario que no está asignado a un dominio definido por el usuario específico, dicho usuario se asigna automáticamente al dominio predeterminado. Las asignaciones de dominio predeterminado requieren la intervención manual. Realice búsquedas periódicas para asegurarse de que todas las entidades en el dominio predeterminado están asignadas correctamente.

Importante: Antes de utilizar una propiedad personalizada en una definición de dominio, asegúrese de que Optimizar el análisis de reglas, informes y búsquedas esté seleccionado en la ventana Propiedades de suceso personalizadas . Esta opción garantiza que la propiedad de suceso personalizado se analice y almacene cuando IBM QRadar reciba el suceso por primera vez. La segmentación en dominios no produce producirá si esta opción no está seleccionada.