Exemple : affectations de privilèges de domaine basées sur des propriétés personnalisées

Si vos fichiers journaux contiennent des informations que vous souhaitez utiliser dans une définition de domaine, vous pouvez exposer les informations en tant que propriété d'événement personnalisé.

Vous affectez une propriété personnalisée à un domaine en fonction des résultats de la capture. Vous pouvez affecter la même propriété personnalisée à plusieurs domaines, mais les résultats de capture doivent être différents.

Par exemple, une propriété d'événement personnalisée, telle que userID, peut être évaluée à un utilisateur unique ou à une liste d'utilisateurs. Chaque utilisateur ne peut appartenir qu'à un seul domaine.

Dans le diagramme suivant, les sources de journal contiennent des informations d'identification de l'utilisateur qui sont exposées comme une propriété personnalisée, userID. Le collecteur d'événements ou la passerelle de données renvoie deux fichiers utilisateur et chaque utilisateur est affecté à un seul domaine. Dans ce cas, un utilisateur est affecté au domaine : 9 et l'autre utilisateur est affecté au domaine : 12.

Figure 1 : Affectation de domaines à l'aide d'une propriété d'événement personnalisée
User1 est affecté au domaine: 9 et User2 est affecté au domaine: 12.

Si les résultats de capture renvoient un utilisateur qui n'est pas affecté à un domaine défini par l'utilisateur spécifique, cet utilisateur est automatiquement affecté au domaine par défaut. Les affectations de domaine par défaut nécessitent une intervention manuelle. Effectuez des recherches périodiques pour vous assurer que toutes les entités du domaine par défaut sont correctement affectées.

Important: Avant d'utiliser une propriété personnalisée dans une définition de domaine, vérifiez que Optimisation de l'analyse pour les règles, les rapports et les recherches est coché dans la fenêtre Propriétés de l'événement personnalisé . Cette option garantit que la propriété d'événement personnalisé est analysée et stockée lorsque IBM QRadar reçoit l'événement pour la première fois. La segmentation de domaine ne se produit pas si cette option n'est pas sélectionnée.