オフェンスの索引付けに関する考慮事項

システム・パフォーマンス

必ず、オフェンスの索引付けに使用するすべてのカスタム・プロパティーを最適化して有効にしてください。 最適化されていないプロパティーを使用すると、パフォーマンスに悪影響を及ぼす可能性があります。

ルールの作成時に、「オフェンスの索引付けの基準」フィールドで、最適化されていないプロパティーを選択することはできません。 ただし、既存のルールがカスタム・プロパティーで索引付けされ、その後そのカスタム・プロパティーの最適化を解除した場合も、そのプロパティーは引き続きオフェンスの索引リストで選択可能になります。 ルールで使用されているカスタム・プロパティーの最適化を解除しないでください。

ルール・アクションと応答

索引付きプロパティーの値がヌルの場合は、ルール・アクションで「検出されたイベントをオフェンスの一部にする」チェック・ボックスを選択した場合でも、オフェンスは作成されません。 例えば、ホスト名で索引付けされているオフェンスを作成するようにルールが構成されているが、イベントのホスト名が空の場合、ルール・テストのすべての条件が満たされても、オフェンスは作成されません。

応答リミッターがカスタム・プロパティーを使用し、カスタム・プロパティーの値が null であるとき、制限は null 値に適用されます。 例えば、応答が「E メール」で、リミッターが「応答回数の上限 1 回 / 1 時間 (カスタム・プロパティーごと)」 に設定されている場合、ルールによって 1 時間以内に null のプロパティーが 2 回起動されると、E メールは送信されません。

カスタム・プロパティーを使用して索引付けする場合、ルールの索引および応答リミッターのフィールドで使用できるカスタム・プロパティーは、作成しているルールのタイプによって異なります。 イベント・ルールでは、ルールの索引および応答リミッターのフィールドでカスタム・イベント・プロパティーが受け入れられます。一方、フロー・ルールでは、カスタム・フロー・プロパティーのみが受け入れられます。 共通ルールでは、ルールの索引および応答リミッターのフィールドでカスタム・イベント・プロパティーまたはカスタム・フロー・プロパティーが受け入れられます。

カスタム・プロパティーを使用して、ディスパッチされたイベントによって作成されたオフェンスを索引付けすることはできません。

ペイロードの内容

Ariel 照会言語 (AQL)、正規表現 (regex)、または計算プロパティーで索引付けされたオフェンスには、オフェンスを生成した初期イベントと同じペイロードが含まれます。

「送信元 IP」や「宛先 IP」などの正規化イベント・フィールドで索引付けされたオフェンスには、カスタム・ルール・エンジン (CRE) のペイロードと同じイベント名および説明が含まれます。