アラート：新しい［詳細EPLルール］タブ

Version 1Show Document

［詳細EPLルール］タブでは、EPL（イベント処理言語）クエリーを使用してルール条件を定義できます。

どうしますか?

ロール	処理オプション...	方法を確認する
コンテンツのエキスパート	詳細EPLルールを定義します。	詳細EPLルールの追加
コンテンツのエキスパート	詳細EPLルールの例を参照します。	詳細EPLルールのサンプル

［詳細EPLルール］タブにアクセスするには、次の手順を実行します。

次の図は［詳細EPLルール］タブの画面イメージです。

次の表に、［詳細EPLルール］タブのパラメーターを示します。

パラメーター	説明
ルール名	ESAルールの目的などを示した名前。
説明	ESAルールの検出対象のサマリー。
評価版ルール	ルールが効率的に実行されているかどうかを確認するための導入モード。
重大度	ルールによってトリガーされるアラートの脅威レベル。
クエリー	ルールの条件を定義するEPLクエリー。

［通知］セクションでは、ESAによってルールのアラートが生成されたときの通知方法を選択することができます。

アラート通知の詳細については、「通知方法をルールに追加」を参照してください。

次の図に、［通知］セクションを示します。

パラメーター	説明
	アラート通知のタイプを追加します。
	選択されたアラート通知タイプを削除します。
出力	アラート通知タイプ。次のタイプがあります。 Eメール SNMP Syslog スクリプト
通知	Eメール配布リストなど、事前に構成された出力の名前。
通知サーバ	出力を送信するサーバの名前。
テンプレート	アラート通知のテンプレートの名前。
出力抑制の間隔	アラートの頻度を指定するオプション。
分	アラート頻度を分単位で指定します。

［エンリッチメント］セクションでは、データエンリッチメントソースをルールに追加できます。

エンリッチメントの詳細については、「ルールへのエンリッチメントの追加」を参照してください。
次の図は、［エンリッチメント］セクションを示しています。

パラメーター	説明
	エンリッチメントを追加します。
	選択したエンリッチメントを削除します。
出力	エンリッチメントソースのタイプ。次のタイプがあります。インメモリテーブル外部データベース参照 Warehouse Analytics GeoIP
エンリッチメントソース	事前に構成したエンリッチメントソースの名前。たとえば、インメモリテーブルの場合はCSVファイル名など。
ESAイベントストリームメタ	結合条件の一方のオペランドとして値を使用するESAメタキー。
エンリッチメントソース列名	結合条件のもう一方のオペランドとして値を使用するエンリッチメントソースの列名。