レポート：［ルールのビルド］ビュー

Document created by RSA Information Design and Development

on Apr 20, 2018

Version 1Show Document

Like • Show 0 Likes0
Comment • 0
View in full screen mode

［ルールのビルド］ビューでは、［ルール］で実行できるアクションと関連する手順について説明します。

ワークフロー

このワークフローは、ルールを作成または導入する手順を示しています。

実行したいことは何ですか?

ロール	実行したいこと	手順
管理者/アナリスト	Reporting Engineの構成	詳細については、「Reporting Engine構成ガイド」の「ステップ3：Reporting Engineのデータソースの構成」トピックを参照してください
管理者/アナリスト	リストまたはリストグループの作成/ルールの作成または導入/ルールのテスト*	ルールの構成
管理者/アナリスト	レポートの作成およびスケジュール設定	レポートの作成およびスケジュール設定
管理者/アナリスト	レポートまたはすべてのレポートのリストの表示	レポートの表示
管理者/アナリスト	レポートの調査	レポートの調査
管理者/アナリスト	リスト、ルール、レポートの管理/アクセス制御	リスト、ルール、レポートの管理

*これらのタスクはここで実行できます。

関連トピック

クイックビュー

［ルールのビルド］ビューにアクセスするには、次の手順を実行します。

［監視］＞［レポート］を選択します。
［管理］タブが表示されます。
［ルール］ツールバーで、＞［NetWitnessDB］をクリックします。
［ルールのビルド］ビューのタブが表示されます。

機能

［ルールのビルド］ビューは次のパネルで構成されます。

1	ルールパネル
2	メタパネル
3	リストパネル

ルールパネル

ルールパネルでは、選択したデータベースタイプのルールを作成できます。

次の図は、［ルール］パネルを示しています。

次の表で、［ルール］パネルの各機能について説明します。

機能	説明
ルールタイプ	ルールを作成する際にサポートされるデータベースタイプのドロップダウンリスト。オプションは次のとおりです。NetWitness DB、IPDB、Warehouse DB。
名前	作成または編集しているルールの名前。
サマライズ	サマライズオプションのドロップダウンリスト。オプションは次のとおりです。なし、イベント数、パケット数、セッション数、カスタム。
選択	値を集計したいメタキー。たとえば、ip.dest。
where	ルールの実行をトリガーする条件を定義するWhere句。たとえば、ip.dest = 127.0.0.1。
Group By	結果をグループ化する方法。たとえば、ip.destを指定すると、ip.destの値がグループ化されたレポートが生成されます。
Then	出力への追加処理に関するルールアクションを定義するThen句。
Order By	結果の表示に使用される優先順位づけ方法。たとえば、［Order By］に［Total］列の値と昇順を指定すると、結果が［Total］列の値に基づいて昇順に格納されたレポートが生成されます。
セッション閾値	セッション閾値を選択するリスト。セッション閾値は、集計関数で処理されるセッションの最大数を指定します。
件数	取得される結果行の最大数を選択するリスト。
使用	［使用］をクリックすると、ルールを使用してレポート、チャートのアラートを生成することができます。
保存	［保存］をクリックすると、編集しているルールが保存されます。［ルールのビルド］パネルは開かれたままです。変更を維持する場合は、ルールをテストする前に保存する必要があります。
リセット	［リセット］をクリックすると、フィールドのすべての情報がクリアされます。
ルールのテスト	［ルールのテスト］をクリックすると、［ルールのテスト］ダイアログが開きます。

［ルールのテスト］ダイアログ

［ルールのテスト］ビューにアクセスするには、次の手順を実行します。

［監視］＞［レポート］を選択します。
［管理］タブが表示されます。
［ルールリスト］パネルで、次のいずれかを実行します。
- ルールを選択し、［ルール］ツールバーのをクリックします。
- ＞［編集］をクリックします。
  ［ルールのビルド］ビューのタブが表示されます。
［ルールのテスト］をクリックします。
［ルールのテスト］ビューが表示されます。

次の表で、［ルールのテスト］ダイアログの機能を説明します。

機能	説明
データソース	テストしているルールタイプのデータソースを選択するドロップダウンリスト。選択可能なデータソースは次のとおりです。Concentrator、Broker、Decoder、Log Decoder。
形式	ルールの結果を表示するための形式を選択するドロップダウンリスト。選択可能な形式は次のとおりです。表、面、横棒、バブル、カラム、折れ線、円、ステップ折れ線、ステップ面、スプライン面、スプライン。
時間範囲	時間範囲の指定方法を選択するドロップダウンリスト。［過去］を選択すると、年、月、日、週、時間の数を指定できます。たとえば、時間、日、週、月、年。［範囲］を選択すると、日付と時刻の範囲を指定できます。たとえば、開始日から終了日まで。ユーザインタフェースに表示される日付または時刻は、ユーザが選択したタイムゾーンプロファイルによって異なります。
相対時間計算の使用	このオプションを選択すると、現在の時刻からの時間範囲が計算されます。
X軸	［X軸］と［Y軸］では、チャートにプロットするメタデータを指定します。［X軸］ドロップダウンリストには、ルールのGroup by設定のメタタイプが表示されます。ルールのGroup by設定が1つの場合は、複数のメタタイプを選択できます。複数のGroup by値が含まれるカスタムルールについては、［X軸］の最初のメタタイプのみを選択できます。
Y軸	［Y軸］ドロップダウンリストには、ルールで使用される集計関数が表示されます。ルールに使用する集計関数では、Sum、Count、Countdistinct、Averageがサポートされています。 1つ以上の集計関数を選択できます。
テストの実行	［テストの実行］をクリックすると、［ルールビルダ］ダイアログで最後に保存されたルールのテストが実行されます。テストが完了すると、選択した時間範囲のルールデータが表示されます（存在する場合）。

メタパネル

メタパネルには、ルールのビルドに使用できるメタタイプのリストが表示されます。メタタイプは、Select、Where、Thenの各句で使用できます。Reporting Engineは、接続先のデータソースと定期的に同期して、使用可能なメタのリストを保持しています。

次の図に、［メタ］パネルを示します。

次の表で、［メタ］パネルの各機能について説明します。

操作	説明
選択	選択したルールタイプに基づいて、使用できるデータソースがメタパネルのドロップダウンリストに表示されます。必要なデータソースを選択します。データソースで使用できるメタタイプが表示されます。メタを選択します。
フィルタ	特定のメタ値でメタをフィルタします。

リストパネル

リストは、メタまたは変数で使用できる値のセットのプレースホルダです。たとえば、信頼できるすべてのイベントソースIPアドレスを使用してリストを定義できます。リストが定義されると、ルールでそのリスト名を使用できます。リストを使用するルールを定義したあとは、リスト内の値をメンテナンス(追加、変更、削除)することで、クエリを変更せずに検索条件の選択肢を柔軟に管理することができます。

リストパネルは一連のリストを集めたものです。Reporting Engineは、接続先のデータソースと定期的に同期して、使用可能なリスト名のリストを保持しています。

次の図に、リストパネルを示します。

次の表で、リストパネルの各機能について説明します。

操作	説明
	リストをインポートまたはエクスポートする。
	リストを更新します。
	［NetWitness DB］ルールタイプを選択した場合、オプションのWhereとThenが表示されます。ルールのWhereまたはThen句にリストを挿入します。
	［Warehouse DB］ルールタイプを選択した場合、オプションのWhereが表示されます。ルールのWhere句にリストを挿入します。