デフォルトでは、 Microsoft Windows セキュリティー・イベント・ログ・イベント内のドル記号 ($) で終わるすべてのユーザー名は、システム・ユーザーと見なされ、イベント解析から除外されます。 IBM
QRadar がイベントを解析する方法を変更する場合は、DSM エディターを使用してシステム・ユーザーを含めることができます。
手順
- 「管理」 タブをクリックします。
- 「データ・ソース」 セクションで、 「DSM エディター」をクリックします。
- 「ログ・ソース・タイプの選択」 ウィンドウで、リストから 「Windows セキュリティー・イベント・ログ」 を選択し、 「選択」をクリックします。
- 「構成」 タブで、 「DSM パラメーター構成の表示」 をオンに設定します。
- 「イベント・コレクター」 リストから、ログ・ソースのイベント・コレクターを選択します。
- ドル記号 ($) で終わるユーザー名を 常に システム・ユーザーと見なすには、次のようにします。 「システム・ユーザー基準」 パラメーター値を 「ドル記号で終わるユーザー名はシステム・ユーザーと見なされる」に設定します。
- システム・ユーザー コンピューター名と一致する場合のみとしてドル記号 ($) で終わるユーザー名が必要な場合は、 System User Criteria パラメーター値を コンピューター名と一致する場合にドル記号で終わるユーザー名は、システム・ユーザーと見なされます。に設定します。
ヒント: ユーザー名 (ドル記号を除く) がコンピューター名と等しい場合、ユーザー名はコンピューター名と一致すると見なされます。コンピューター名が完全修飾ドメイン名の場合は、コンピューター名のホスト・コンポーネントと一致します。 大文字小文字は無視されます。 例えば、ユーザー名が ホスト $ で、コンピューター名が ホスト または host.example.comである場合、ユーザー名はコンピューター名と一致すると見なされます。
- ドル記号 ($) で終わるユーザー名をシステム・ユーザーとして認識 しない ようにするには、 System User Criteria パラメーター値を 「ドル記号で終わるユーザー名はシステム・ユーザーと見なされない」に設定します。
- 「保存」 をクリックして、DSM エディターを閉じます。
ヒント: 「ID なしでシステム・ユーザーを含める (Include System User With (No) Identity)」 パラメーター値が 「ID なしでシステム・ユーザーを含める (Include System User With No Identity)」 または 「ID 付きでシステム・ユーザーを含める (Include System User With Identity)」に設定されている場合、すべてのシステム・ユーザーが構文解析に含まれます。 これは、 システム・ユーザー基準 パラメーター値とは無関係です。