Decoder:無効な構文を含むルールの修正

Document created by RSA Information Design and Development on Apr 19, 2018
Version 1Show Document
  • View in full screen mode
 

NetWitness Suite 11.0に更新した後、ユーザ インタフェースに、無効な構文を含むルールがハイライト表示されます。ルール エディタによって追加のツールチップが提供されます。ルールを修正した後は、ハイライト表示が消えます。「Decoderのルールの構成」には、NetWitness Suiteのすべてのクエリとルール条件が従う必要があるガイドラインが提供されています。

無効な構文を含むルールを修正するには、次の手順に従います。

  1. [管理]>[サービス]に移動します。
  2. サービス]ビューで、Decoderを選択し、Actions menu cropped[表示]>[構成]を選択します。
  3. [サービス]の[構成]ビューで、[ネットワーク ルール]、[アプリケーション ルール]、[相関ルール]のいずれかのルール タブを選択します。
    選択したルール タイプの[ルール]タブには、無効な構文を使用しているルールの数と、無効なルールがハイライト表示されて示されます。


  4. 無効なルールを選択し、[編集]アイコンをクリックします。
    ルール エディタには無効なルールの追加情報が表示されます。エディタには追加の[保存]オプションも含まれています。
    これは、無効なルールの[ルール エディタ]ダイアログの例です。
  5. 条件]フィールドで、ルール構文を修正します。
    すべての文字列リテラルとタイム スタンプは引用符で囲む必要があります。数値およびIPアドレスは引用符で囲まないでください。詳細については、「Decoderのルールの構成」を参照してください。
    たとえば、無効なルール条件がip.src="10.30.30.30"である場合、ip.src=10.30.30.30と引用符を削除することで構文を修正します。
  6. 以下のいずれかの操作を実行します。
    • ルールを個別に修正するには、[保存]をクリックします。
      修正されたルールはDecoderに個別に適用されます。修正されたルールはハイライト表示されずに[ルール]タブに表示されます。 
    • ルールを修正し、他のルールとともに後でDecoderにルールを適用するには、[OK]をクリックします。
      修正されたルールはハイライト表示されずに[ルール]タブに表示されます。ルールはDecoderに適用されていません。
You are here
Table of Contents > Decoderのルールの構成 > 無効な構文を含むルールの修正

Attachments

    Outcomes