Configurando quais nomes de usuários o QRadar considera como usuários do sistema em eventos coletados a partir de logs de eventos de segurança do Microsoft Windows

Por padrão, todos os nomes de usuário nos eventos do Log de Eventos de Segurança do Microsoft Windows que terminam com um sinal de dólar ($) são considerados usuários do sistema e são excluídos da análise de eventos. Se você desejar mudar a maneira que o IBM QRadar analisa eventos, será possível usar o Editor DSM para incluir usuários do sistema

1. Clique na guia Admin .
2. Na seção Origens de Dados , clique em Editor de DSM.
3. A partir da janela Selecionar Tipo de Fonte de Log , selecione Log de Eventos de segurança do Windows da lista e clique em Selecionar.
4. Na guia Configuração , configure Exibir Configuração de Parâmetros DSM para em.
5. A partir da lista Coletor de Eventos , selecione o coletor de eventos para a fonte de log.
6. Se você quiser que nomes de usuários que terminem com um sinal de dólar ($) para sempre sejam considerados como usuários do sistema, configurar o valor do parâmetro System User Criteria para Usernames Ending With A Dollar Sign São Considerados Usuários Do Sistema.
7. Se você deseja usernames que terminam com um sinal de dólar ($) como usuários do sistema somente quando eles combinam com o nome do computador, configurar o valor do parâmetro System User Criteria para Usernames Ending With a Dollar Sign If It Corresponder Nome Do Computador São Considerados Como Usuários Do Sistema.
   Dica: Um nome de usuário é considerado para combinar com o nome do computador quando o nome de usuário (excluindo o sinal de dólar) é igual ao nome do computador ou, se o nome do computador é um nome de domínio totalmente qualificado, o componente host do nome do computador. Não importa se as letras sejam maiúsculas ou minúsculas. Por exemplo, se o nome de usuário for HOST$ e o nome do computador for host ou host.example.com, então o nome de usuário será considerado como correspondente ao nome do computador.
8. Se você deseja que nomes de usuários que terminem com um sinal de dólar ($) para nunca sejam considerados como usuários do sistema, configure o valor de parâmetro System User Criteria para Usernames Ending With a Dollar Sign Não São Considerados Usuários Do Sistema.
9. Clique em Salvar e feche o Editor de DSM.
   Dica: Se o valor do parâmetro Include User User With (No) Identity for configurado como Include Usuário do Sistema Sem Identidade ou Include Usuário do Sistema Com Identidade, todos os usuários do sistema estão incluídos na análise, independentemente do valor do parâmetro System User Criteria .