Unterschiedliche Optimierung für Regeln anwenden

Es kann erforderlich sein, in unterschiedlichen Teilen des Systems unterschiedliche Optimierungen für Regeln anzuwenden. Um unterschiedliche Optimierungen für Regeln anzuwenden, müssen Sie die Regeln für den Assetabgleich-Ausschluss, die Sie optimieren möchten, duplizieren und einen oder mehrere Tests zur Beschränkung der Regeln hinzufügen, sodass nur bestimmte Teile des Systems getestet werden. Sie können zum Beispiel Regeln erstellen, die nur Netze, Protokollquellen oder Ereignistypen testen.

Informationen zu dieser Task

Überlegen Sie genau, bevor Sie neue Regeln zum System hinzufügen, denn einige Tasks und CRE-Regeln können die Systemleistung beeinträchtigen. Es kann sinnvoll sein, die neuen Regeln am Anfang jedes Teststacks hinzuzufügen, sodass das System den Rest der Testlogik immer dann umgehen kann, wenn eine Assetaktualisierung die Kriterien für die neue Regel erfüllt.

Vorgehensweise

  1. Duplizieren Sie die Regel.
    1. Klicken Sie auf der Registerkarte Angriffe auf Regeln und wählen Sie die Regel aus, die Sie kopieren wollen.
    2. Klicken Sie auf Aktionen > Duplizieren.
      Es kann hilfreich sein, wenn der Name der neuen Regel auf den Grund für die Duplizierung hinweist.
  2. Fügen Sie einen Test zur Regel hinzu.

    Geben Sie einen Filter an, der verwendet werden soll, um die Regel nur auf eine Untermenge der Systemdaten anzuwenden. Beispielsweise können Sie einen Test hinzufügen, der nur Ereignisse aus einer bestimmten Protokollquelle abgleicht.

  3. Optimieren Sie die Variablen der Regel, um das gewünschte Verhalten zu erreichen.
  4. Aktualisieren Sie die ursprüngliche Regel.
    1. Fügen Sie denselben Test, den Sie der doppelten Regel hinzugefügt haben, zur ursprünglichen Regel hinzu, aber invertieren Sie diesmal die Operatoren AND und AND NOT .

      Die Umkehrung der Operatoren verhindert, dass Ereignisse in beiden Regeln ausgelöst werden.