자산 조정 제외 룰에 대한 고급 튜닝
자산 조정 제외 룰을 튜닝하여 하나 이상의 룰에서 자산 증가 편차 정의를 세분화할 수 있습니다.
예를 들어, 자산 조정 제외 룰에서 다음 정규화된 템플리트를
고려하십시오.
Apply AssetExclusion: Exclude DNS Name By IP on events which are detected
by the Local system and NOT when any of
Identity Host Name are contained in any of
Asset Reconciliation DNS Whitelist - AlphaNumeric (Ignore Case),
Asset Reconciliation DNS Blacklist - AlphaNumeric (Ignore Case)
and when at least N1 events are seen with the same
Identity Host Name and different Identity IP in N2 이 표에는 튜닝할 수 있는 룰 템플리트의 변수 및
변경 결과가 나열됩니다. 템플리트에서 다른 변수는
변경하지 마십시오.
| 가변 | 기본값 | 튜닝 결과 |
|---|---|---|
| N1 | 3 | 이 변수를 더 작은 값으로 튜닝하면
룰을 시작하기 위해 데이터가 충돌하는 이벤트가 적어야
하므로 블랙리스트에 더 많은 수의 데이터가 추가됩니다. 이 변수를 더 큰 값으로 튜닝하면 룰을 시작하기 위해 데이터가 충돌하는 이벤트가 많아야 하므로 블랙리스트에 더 적은 수의 데이터가 추가됩니다. |
| N2 | 2시간 | 이 변수를 더 작은 값으로 튜닝하면
룰을 시작하기 위해 N1 이벤트를 표시해야 하는 시간 범위가
줄어듭니다. 일치하는 데이터를 관찰하는 데 필요한 시간이
줄어들므로 블랙리스트에 더 적은 수의 데이터가 추가됩니다. 이 변수를 더 큰 값으로 튜닝하면 룰을 시작하기 위해 N1 이벤트를 표시해야 하는 시간이 늘어납니다. 일치하는 데이터를 관찰하는 시간이 늘어나므로 블랙리스트에 더 많은 수의 데이터가 추가됩니다. 시간을 늘리면 데이터가 더 오랫동안 추적되므로 시스템 메모리 자원에 영향을 줄 수 있습니다. |
자산 조정 제외 룰은 시스템 범위 룰입니다. 룰 변경은 룰이 전체 시스템에서 작동되는 방식에 영향을 줍니다.