NetWitness Community

このトピックでは、特定のタイム フレームを指定するなど、ルール ステートメントに条件を追加する方法について説明します。ステートメントを作成するときには、ルールで何を検出するかを指定します。その状況が何回またはいつ発生したかなど、より詳細な規定を設定するために条件を追加します。 例 次の図はルール ビルダーの条件にステートメントが2つ追加されている例を示しています。ステートメントと条件の組み合わせにより、ルールの基準が構成されます。 ​​ このルールではログオンの試行が5回失敗し、その後に1回成功...

このトピックには、ESA（Event Stream Analysis）のクイック スタート トピックが含まれており、ESAの使用を開始するときに役立ちます。以降のトピックは、ESAの使用を開始する際に役立ちます。 このトピックでは、最適な設定、導入、ルール作成の方法を分かりやすく説明します。次のトピックを参照してください：ベスト プラクティス このトピックは、ルールの記述や導入など、ESAのさまざまな側面のトラブルシューティングに役立ちます：ESAのトラブルシューティング このトピックは、ESA...

このトピックでは、詳細EPLルールで使用するようSecurity Analyticsに用意されている2つの注釈について説明します。 @RSAAlertアノテーション @RSAAlertアノテーションは、EPLステートメントをアラート生成用とマークするために使用されます。@RSAAlertは詳細なルール定義で、ESAアラートを生成する必要があるステートメントでのみ使用するオプションです。 注：このアノテーションは、名前付きのウィンドウを作成するEPLステートメントなど、すべてのEPLステートメント...

ESAの詳細EPLルールの例は次のとおりです。次に示す例には、同じユースケースを実現可能な複数の方法があります。 例1： ユーザー アカウントを作成し、300秒以内に同じユーザー アカウントを削除します。ユーザー情報はuser_srcメタに格納されます。 EPL 1： ルール名 CreateuseraccountFollowedbyDeletionof Useraccount1 ルールの説明 ユーザー アカウントを作成してから300秒以内に同じユーザー アカウントを削除するアクションのパターンを...

このトピックでは、［ルール ライブラリ］パネルのコンポーネントについて説明します。［ルール ライブラリ］パネルを使用して、次のタスクを実行できます。 ESAルールの追加 ESAルールの削除 ESAルールの編集 ESAルールの複製 ESAルールのインポート ESAルールのエクスポート ESAルール リストのフィルタ このビューにアクセスするには、Security Analyticsメニューで、［アラート］＞［構成］を選択します。［ルール］タブが開き、［ルール ライブラリ］ビューは右側に表示されます...