Prise en charge de l'analyse des propriétés personnalisées dans le journal des événements de sécurité de l' Microsoft Windows, DSM

Le module DSM « Journal des événements de sécurité » d' Microsoft Windows prend en charge l'analyse des propriétés d'événements personnalisées afin d'extraire des propriétés supplémentaires des données d'événements, au-delà des champs normalisés standard.

Présentation

L'analyse des propriétés d'événements personnalisées permet au module DSM « Journal des événements de sécurité » d' Microsoft Windows d'extraire des champs de données spécifiques à partir des événements du journal à l'aide de modèles d'expressions régulières prédéfinis. L'analyse des propriétés d'événement personnalisées améliore l'analyse des événements en donnant accès à des informations détaillées qui ne sont pas forcément disponibles dans les champs d'événement normalisés standard. L'analyse des propriétés d'événements personnalisés présente la caractéristique principale suivante :
Bouton à bascule configurable
L'analyse des propriétés d'événement personnalisées peut être activée ou désactivée à l'aide du isCEPEnabled paramètre.

Configuration

Activation de l'analyse des propriétés d'événements personnalisés
L'analyse des propriétés des événements personnalisés est activée par défaut. Pour modifier ce paramètre, procédez comme suit :
  1. Accédez à Admin > Éditeur DSM.
  2. Dans la liste des DSM, sélectionnez « Microsoft Windows Security Event Log DSM ».
  3. Cliquez sur l'onglet « Configuration »
  4. Accédez à la configuration des paramètres DSM.
  5. Sélectionnez « Event Collector ». Ajoutez ou modifiez les paramètres suivants :
    • Nom du paramètre : Activer l'exécution du CEP à partir du journal des événements de sécurité de l' Microsoft Windows (DSM)
    • Valeur : Activer ou désactiver
    Remarque : les modifications apportées au paramètre DSM « Activer l'exécution du CEP à partir du journal des événements de sécurité d' Microsoft Windows » prennent effet immédiatement, sans nécessiter de redémarrage du processeur d'événements.
  6. Cliquez sur « Enregistrer » et appliquez les modifications.
Désactiver l'analyse des propriétés d'événements personnalisés

« Activer l'exécution des propriétés personnalisées à partir du journal des événements de sécurité d' Microsoft Windows » (DSM) est un bouton bascule et est activé par défaut.

Pour désactiver pour la première fois les propriétés d'événement personnalisées DSM du journal des événements de sécurité d' Microsoft Windows, procédez comme suit :
  1. Sélectionnez un par un chaque collecteur d'événements dans la liste déroulante et désactivez le collecteur d'événements correspondant.
  2. Cliquez sur « Enregistrer » et appliquez les modifications.

Vous pouvez activer ou désactiver ultérieurement l'exécution des propriétés personnalisées pour chaque collecteur d'événements associé au DSM « Journal des événements de sécurité » d' Microsoft Windows.