ESA構成:モジュール設定

Document created by RSA Information Design and Development on Apr 19, 2018
Version 1Show Document
  • View in full screen mode
 

[ESA Analyticsマッピング]パネル([管理]>[システム]>[ESA Analytics])でモジュール マッピングを作成して導入すると、そのマッピングの一部のモジュール構成を変更するオプションがあります。

どうしますか?

                            
ロール 処理オプション...方法を確認する
管理者

導入されていないモジュール マッピングのウォーム アップ期間を変更します。

ウォーム アップ期間と遅延時間の変更

管理者

ウォーム アップ期間中にモジュール マッピングのウォーム アップ期間を変更します。

ウォーム アップ期間と遅延時間の変更

管理者

ウォーム アップ期間が完了した後でモジュール マッピングのウォーム アップ期間を変更します。

ウォーム アップ期間と遅延時間の変更

関連トピック

モジュール設定

モジュール設定にアクセスするには、[ESA Analyticsマッピング]パネルで変更するマッピングを選択し、[アクション]列で[[アクション]アイコンモジュールの編集]を選択します。[モジュール設定]ダイアログには、[構成]セクションと、[ウォーム アップ状態]セクションがあります。

[モジュール設定]ダイアログ

構成

[構成]セクションでは、ウォーム アップ期間と遅延時間の構成を変更することができます。

次の表で、ESA Analyticsモジュール マッピングで使用できる設定について説明します。

                               
フィールド説明

モジュール

マッピングされているモジュールの名前を表示します。

サービス

マッピングのデータを処理するESA Analyticsサービスを表示します。

ソース

マッピングされているデータ ソースとESAとの通信に使用されるURLを表示します。

ウォーム アップ期間(時間)

ウォーム アップ期間を時間単位で指定します。ウォーム アップ期間は、自動脅威検出にトラフィックを「学習」させるために必要です。典型的なトラフィックが実行されているときに、ウォーム アップ期間を実行する必要があります。この期間中、モジュール マッピングのアラートは抑制されます。ウォームアップ期間は、履歴データをモジュールに供給して、指定された時間分のデータ コレクションがアラートの送信前に完了することを保証します。

RSAでは、事前構成済みのESA Analyticsモジュールを提供します。各モジュール タイプには、デフォルトのウォーム アップ期間が定義されていて、必要に応じ、環境に合わせて調整できます。このウォーム アップ期間後にアラートを表示できます。

ウォーム アップ期間が完了しているかどうかに応じて、導入されたモジュール マッピングのウォーム アップ期間を更新することができます。

  • ウォーム アップ期間中:ウォーム アップ期間に時間を追加できます。また、残りのウォーム アップ時間を減らすことができます。

  • ウォーム アップ期間完了後:現在の時間と最初のイベント時刻の差を追加する時間に追加することで、ウォーム アップ期間に時間を追加することができます。
    たとえば、10時間のウォーム アップ期間が完了して、最初のイベント時刻が12時00分00秒を示しています。現在の(システム)時間は16時00分00秒(4時間後)で、ウォーム アップ時間にさらに5時間を追加するとします。これには、10時間のウォーム アップ期間に9時間分(4+5=9)を追加する必要があるため、新しいウォーム アップ期間を19時間に設定します。
    マッピングを削除して新しいマッピングを作成しない限り、ウォーム アップ期間が完了している場合に、ウォーム アップ期間を減らすことはできません。

ウォーム アップ期間の値は、特定のマッピングに固有のもので、導入した後、そのマッピング内のすべてのConcentratorに適用されます。Concentratorが、異なるウォーム アップ時間を持つ2つのモジュール間で共有される場合、Concentratorは各モジュール マッピングについて別々のウォーム アップ期間値を使用します。

遅延時間(分)

負荷の高いアクティビティの期間中にデータ ソースによって処理されているイベントを失わないようにするために追加される、固定の時間遅延を分単位で指定します。たとえば、Concentratorのパフォーマンスは、受け取る負荷、実行するクエリー、インデックス作成などの要因によって異なります。これらの要因により、Concentratorはイベントをリアルタイムで集計できないことがあり、これが遅延につながります。

遅延パラメーターを設定すると、Concentratorが全データの集計を完了することが可能になります。遅延時間を指定して最初にモジュールを導入すると、データの集計は現在の(システム)時間-遅延時間-ウォーム アップ期間に開始されます。たとえば、現在の時間が午後2時00分、遅延時間が30分、ウォーム アップ期間が4時間である場合に、モジュールを初めて導入すると、データ コレクションは午前9時30分(午後2時00分-0.5時間-4時間)に開始されます。

ウォーム アップ期間が完了すると、データの集計は現在の(システム)時間-遅延時間で継続されます。この設定は、Concentratorによるデータの集計が低速の場合に役立ちます。遅延時間により、モジュールが遅延時間のタイム ウィンドウ内にConcentratorに到着するデータを処理しないことが保証されるため、エンタープライズで生成されたすべてのイベントを確実にモジュールで処理できる適切な遅延が生じます。

たとえば、遅延時間が30分、現在の時間が午後2時00分の場合、Concentratorはレコードの受信を午後1時30分に開始します。遅延時間のタイム ウィンドウ、この例では30分が、時間の先行分として常に残ります。現在の時間が午後2時01分に進むと、Concentratorは次の1分である午後1時31分のデータを取得します。以降も同様です。

重要:遅延時間では、現在の時間とモジュールがデータを取得する時間の間のバッファを定義します。

遅延時間の値は、特定のマッピングに固有のもので、導入した後、そのマッピング内のすべてのConcentratorに適用されます。Concentratorが、別の遅延時間を持つ2つのモジュール間で共有される場合、Concentratorは各モジュール マッピングについて別々の遅延時間値を使用します。

注意:RSAでは、イベントを集計中に欠落させないように、管理者が個々のConcentratorのパフォーマンスに基づいて動的に遅延時間パラメーターを調整することを推奨します。

正確な遅延時間を判断するには、次を合計して、環境の遅延時間を求めます。

1. ログまたはパケット レイテンシ:これは、Log Decoderがログを受信するのに要する時間、または(Packet)Decoderがパケットを受信するのに要する時間です。たとえば、Log Decoderはログを20分ごとに取得するとします。この場合、遅延時間を最短でも20分、できれば25分に設定して、イベントの見落としがないようにします。

2. 集計レイテンシ:これは、Log DecoderからConcentratorにデータを取得するのに要する時間です。

3. その他のバッファ:お使いの環境に固有のすべてのその他の時間遅延を追加します。

ウォームアップ状態

[ウォーム アップ状態]セクションは、ウォーム アップ期間の適切な調整決定に使用できる、ウォーム アップ状態に関する情報を提供します。

                               
フィールド説明

ウォームアップの開始時刻

最初のイベントが、データ ソースからESA Analyticsモジュールによって処理された時刻。

最初のイベント時刻

最初のイベントが発生した時刻。ウォーム アップ期間は、この時間に基づきます。

直近のイベント時刻

直近のイベントが発生した時刻。

残りのウォームアップ時間

ウォーム アップ期間の残りの時間数。

完了?

ウォーム アップ期間が完了しているかどうかを示します。trueの場合は、ウォーム アップ期間は完了しています。falseの場合は、モジュールはまだウォーミング アップ中で、[残りのウォーム アップ時間]フィールドに、残りの時間数を表示することができます。

 

You are here
Table of Contents > 参考情報 > モジュール設定

Attachments

    Outcomes