룰에 다른 튜닝 적용

시스템의 여러 파트에서 룰에 다른 튜닝을 적용해야 할 수 있습니다. 룰에 다른 튜닝을 적용하려면 시스템의 특정 부분만 테스트하도록 룰을 제한하기 위해 하나 이상의 테스트를 튜닝하고 추가할 자산 조정 제외 룰을 복제해야 합니다. 예를 들어, 네트워크, 로그 소스 또는 이벤트 유형만 테스트하는 룰을 작성할 수 있습니다.

이 태스크에 대한 정보

일부 태스크 및 CRE 룰이 시스템 성능에 영향을 줄 수 있으므로 시스템에 새 룰을 추가하는 경우 주의하십시오. 자산 업데이트가 새 룰의 기준에 맞을 때마다 시스템이 나머지 테스트 로직을 무시하도록 각 테스트 스택의 맨 위에 새 룰을 추가하는 것이 좋습니다.

프로시저

  1. 룰을 복제하십시오.
    1. 오펜스 탭에서 룰 을 클릭하고 복사할 룰을 선택하십시오.
    2. 조치 > 복제를 클릭하십시오.
      이는 새 룰의 이름이 복제 이유를 나타내는 경우에 유용할 수 있습니다.
  2. 룰에 테스트를 추가하십시오.

    시스템 데이터의 서브세트에만 룰을 적용하는 데 사용할 필터를 결정하십시오. 예를 들어, 특정 로그 소스의 이벤트만 일치시키는 테스트를 추가할 수 있습니다.

  3. 룰의 변수를 튜닝하여 원하는 작동을 수행하십시오.
  4. 원래 룰을 업데이트하십시오.
    1. 중복 규칙에 추가한 동일한 테스트를 원래 규칙에 추가하십시오. 그러나 이번에는 규칙 AND 및 AND NOT 연산자를 반대로 합니다.

      연산자를 뒤바꾸면 이벤트가 두 가지 룰 모두에서 트리거되지 않게 됩니다.