Respondの構成：［新しいルール］タブ

クエリー ビルダー - グループ化を行うためのさまざまなクエリーを使用して条件を構築する場合に選択します。条件のグループをネストすることもできます。

一致条件 - ［すべてに合致］、［いずれかに合致］、［いずれにも合致しないく］から選択できます。選択した値に応じて、条件および条件グループで指定されている基準のタイプが照合され、アラートがグループ化されます。

たとえば、条件の一致を［すべて］に設定した場合、条件および条件グループで指定されている基準と一致するアラートが1つのインシデントにまとめられます。

• ［条件の追加］をクリックして、一致条件を追加します。
• ［グループの追加］をクリックして条件のグループを追加し、［条件の追加］をクリックして条件を追加します。

条件セットを基準に一致する複数の条件および条件のグループを含め、受信アラートをインシデントにグループ化できます。

インシデントに統合 - 有効にすると、基準セットと一致するアラートが1つのインシデントにまとめられます。

アラートを抑制 - 有効にすると、基準と一致するアラートが抑制されます。

タイトル:（オプション）インシデントのタイトルです。グループ化した属性に基づいてプレースホルダーを指定することができます。プレースホルダーはオプションです。プレースホルダーを使用しない場合は、ルールによって作成されるすべてのインシデントに同じタイトルが付けられます。

たとえば、ソースに基づいてグループ化した場合は、結果として生成されるインシデントに「${groupByValue1}のアラート」という名前を付けることができます。この場合、NetWitness Endpointからのすべてのアラートのインシデントに「NetWitness Endpointのアラート」という名前が付けられます。