Consideraciones sobre la indexación de delitos

Rendimiento del sistema

Asegúrese de optimizar y habilitar todas las propiedades personalizadas que se utilizan para la indexación de delitos. La utilización de propiedades que no están optimizadas puede tener un efecto negativo en el rendimiento.

Al crear una regla, no puede seleccionar propiedades no optimizadas en el campo Indexar delito según. Sin embargo, si una regla existente se indexa en una propiedad personalizada y luego la propiedad personalizada se desoptimiza, la propiedad seguirá estando disponible en la lista de índice de delitos. No desoptimice propiedades personalizadas que se utilizan en reglas.

Acción y respuesta de regla

Cuando el valor de la propiedad indexada es nulo, no se crea un delito aunque se marque el recuadro de selección Asegurarse de que el suceso detectado forma parte de un delito en la acción de regla. Por ejemplo, si una regla está configurada para crear un delito que se indexa por nombre de host, pero el nombre de host del suceso está vacío, no se crea un delito aunque se cumplan todas las condiciones de las pruebas de regla.

Cuando el limitador de respuestas utiliza una propiedad personalizada y el valor de propiedad personalizada es nulo, el límite se aplica al valor nulo. Por ejemplo, si la respuesta es Correo electrónico, y el limitador dice Responder no más de 1 vez por 1 hora por propiedad personalizada, si la regla se activa una segunda vez con una propiedad nula dentro de una hora, no se enviará un correo electrónico.

Al indexar mediante una propiedad personalizada, las propiedades personalizadas que puede utilizar en los campos de índice de regla y limitador de respuestas dependen del tipo de regla que esté creando. Una regla de suceso acepta propiedades de sucesos personalizadas en los campos de índice de regla y limitador de respuestas, mientras que una regla de flujo solo acepta propiedades de flujos personalizadas. Una regla común acepta propiedades de sucesos personalizadas o propiedades de flujos personalizadas en los campos de índice de regla y limitador de respuestas.

No puede utilizar propiedades personalizadas para indexar un delito creado por un suceso asignado.

Contenido de carga útil

Los delitos indexados mediante Ariel Query Language (AQL), una expresión regular (regex) o mediante una propiedad calculada incluyen la misma carga útil que el suceso inicial que generó el delito.

Los delitos indexados por un campo de suceso normalizado, como por ejemplo una IP de origen o una IP de destino, incluyen el nombre de suceso y la descripción como carga útil de motor de reglas personalizadas (CRE).