期限切れユーザー・アカウントの追跡

IBM QRadar 環境内の失効したデータ (期限切れユーザー・アカウントなど) を識別するには、リファレンス・データ収集を使用します。

1. ユーザーが最後にログインしてからの経過時間を追跡するためのリファレンス・セットを作成します。
   1. 未使用のユーザー・アカウントが期限切れと見なされるまでの期間を表すには、 「エレメントの存続時間」 を設定します。
   2. 「最終表示以降」 ボタンを選択します。
2. usernameなどのログイン・データをリファレンス・セットに追加するためのカスタム・イベント・ルールを作成します。
   注: QRadar は、各データ・エレメントの 「前回表示日」 を追跡します。 存続時間内に特定のユーザーについてのデータが追加されない場合、リファレンス・セット・エレメントの期限が切れ、「リファレンス・データの期限切れ (Reference Data Expiry)」イベントが起動されます。 このイベントには、リファレンス・セット名と期限切れユーザー名が含まれています。
3. 「ログ・アクティビティー」 タブを使用して、 「リファレンス・データの有効期限」 イベントを追跡します。