QRadar® を設定して、アラートから最初のユーザー名のみを収集する

IBM QRadar が IBM Security QRadar EDR イベントを処理する方法を変更する場合は、DSM エディターを使用して、アラートから最初のユーザー名のみを収集します。

デフォルトでは、 QRadar EDR DSM はアラートからすべてのユーザー名を収集し、それらをコンマ区切りリストに結合して username フィールドに入れます。

手順

  1. 「管理」 タブの 「データ・ソース」 セクションで、 「DSM エディター」をクリックします。
  2. 「ログ・ソース・タイプの選択」 ウィンドウで、リストから IBM セキュリティー」 QRadar EDR を選択し、 「選択」をクリックします。
  3. 「構成」 タブで、 「DSM パラメーター構成の表示 (Display DSM Parameters Configuration)」 を onに設定します。
  4. 「イベント・コレクター」 リストから、ログ・ソースのイベント・コレクターを選択します。
  5. 「最初のユーザー名を取得 (Get First Username)」 を onに設定します。
  6. 「保存」 をクリックして DSM エディターを閉じます。