アセット調整除外ルールの高度なチューニング
アセット調整除外ルールをチューニングして、1 つ以上のルールで異常なアセット増加の定義を調整します。
アセット調整除外ルールの次の正規化テンプレートを例に説明します。
Apply AssetExclusion: Exclude DNS Name By IP on events which are detected
by the Local system and NOT when any of
Identity Host Name are contained in any of
Asset Reconciliation DNS Whitelist - AlphaNumeric (Ignore Case),
Asset Reconciliation DNS Blacklist - AlphaNumeric (Ignore Case)
and when at least N1 events are seen with the same
Identity Host Name and different Identity IP in N2 次の表に、このルール・テンプレートでチューニング可能な変数と変更結果を示します。 テンプレートのその他の変数は変更しないでください。
| 変数 | デフォルト値 | チューニング結果 |
|---|---|---|
| N1 | 3 | この変数を低い値にチューニングすると、ブラックリストに追加されるデータが増加します。これは、このルールを起動するために必要な、競合データを含むイベントの数が少なくなるためです。 この変数を高い値にチューニングすると、ブラックリストに追加されるデータが減少します。これは、このルールを起動するために必要な、競合データを含むイベントの数が増加するためです。 |
| N2 | 2 時間 | この変数を低い値にチューニングすると、このルールが起動するために必要な、N1 個のイベントが発生する必要がある時間が短くなります。 一致データを監視する必要がある時間が短くなり、その結果ブラックリストに追加されるデータが減少します。 この変数を高い値にチューニングすると、このルールが起動するために必要な、N1 個のイベントが発生する必要がある時間が長くなります。 一致データを監視する時間が長くなり、その結果ブラックリストに追加されるデータが増加します。 この期間を長くすると、データが追跡される期間が長くなるため、システム・メモリー・リソースに影響を及ぼす可能性があります。 |
アセット調整除外ルールはシステム全体に適用されるルールです。 このルールを変更すると、システム全体におけるこのルールの動作に影響します。