ESA-Konfiguration: Moduleinstellungen

Document created by RSA Information Design and Development on May 10, 2018
Version 1Show Document
  • View in full screen mode
 

Nach dem Erstellen oder Bereitstellen einer Modulzuordnung im Bereich „ESA Analytics-Zuordnungen“ (ADMIN > System > ESA Analytics) haben Sie die Möglichkeit, einige Modulkonfigurationen für diese Zuordnung zu ändern.

Was möchten Sie tun?

                            
Rolle ZielDetails anzeigen
Administrator

Die Aufwärmphase für eine nicht bereitgestellte Modulzuordnung ändern.

Ändern der Aufwärmphase und der Verzögerungszeit

Administrator

Die Aufwärmphase für eine Modulzuordnung während der Aufwärmphase ändern.

Ändern der Aufwärmphase und der Verzögerungszeit

Administrator

Die Aufwärmphase für eine Modulzuordnung nach Abschluss der Aufwärmphase ändern.

Ändern der Aufwärmphase und der Verzögerungszeit

Verwandte Themen

Moduleinstellungen

Um auf die Moduleinstellungen zuzugreifen, wählen Sie im Bereich „ESA Analytics-Zuordnungen“ die Zuordnung, die Sie ändern möchten, und wählen Sie in der Spalte Aktionen Symbol „Aktionen“ > Modul bearbeiten. Das Dialogfeld „Moduleinstellungen“ verfügt über die Abschnitte „Konfigurationen“ und „Aufwärmzustand“.

Dialogfeld „Moduleinstellungen“

Konfigurationen

Im Abschnitt „Konfigurationen“ können Sie die Konfigurationen für Aufwärmphase und Verzögerungszeit ändern.

In der folgenden Tabelle werden die Einstellungen beschrieben, die für eine ESA Analytics-Modulzuordnung zur Verfügung stehen.

                               
FeldBeschreibung

Modul

Zeigt den Namen des zugeordneten Moduls.

Service

Zeigt den ESA Analytics-Service, der die Daten für die Zuordnung verarbeitet.

Quellen

Zeigt die zugeordneten Datenquellen und die für die Kommunikation mit ESA verwendeten URLs.

Aufwärmzeit (Stunden)

Gibt eine Dauer für die Aufwärmphase in Stunden an. Eine Aufwärmphase ist erforderlich, damit die automatisierte Bedrohungserkennung Ihren Datenverkehr „kennen lernen“ kann. Die Aufwärmphase sollte ausgeführt werden, wenn der typische Datenverkehr ausgeführt wird. Während dieser Zeit werden Warnmeldungen für die Zuordnung von Modulen unterdrückt. Die Aufwärmzeit bereitet das Modul mit Verlaufsdaten vor und sorgt dafür, dass die Datenerfassung auch wirklich die angegebene Anzahl an Stunden dauert, bevor Warnmeldungen gesendet werden.

RSA bietet vorkonfigurierte ESA Analytics-Module. Für jeden Modultyp ist eine standardmäßige Aufwärmphase definiert, die Sie bei Bedarf an Ihre Umgebung anpassen können. Nach dieser Aufwärmphase können Warnmeldungen angezeigt werden.

Sie können die Aufwärmphase einer bereitgestellten Modulzuordnung abhängig davon aktualisieren, ob die Aufwärmphase abgeschlossen ist:

  • Während der Aufwärmphase – Sie können der Aufwärmphase Stunden hinzuzufügen oder verbleibende Aufwärmzeit abziehen.

  • Abschluss der Aufwärmphase – Sie können der Aufwärmphase Stunden hinzufügen, indem Sie die Differenz zwischen der aktuellen Zeit und der Zeit des ersten Ereignisses zu den Stunden hinzufügen, die Sie hinzufügen möchten.
    Beispiel: Eine Aufwärmphase von 10 Stunden ist abgeschlossen und die Zeit des ersten Ereignisses zeigt 12:00:00. Die aktuelle (System-)Zeit lautet 16:00:00 (4 Stunden später) und Sie möchten der Aufwärmphase 5 weitere Stunden hinzufügen möchten. Um dies zu erreichen, müssen Sie der Aufwärmphase von 10 Stunden 9 Stunden hinzufügen (4+5 = 9), sodass die neue Aufwärmphase auf 19 Stunden festgelegt wird.
    Sie können die Aufwärmphase nicht reduzieren, wenn sie abgeschlossen ist, sofern Sie nicht die Zuordnung löschen und eine neue erstellen.

Der Wert der Aufwärmphase ist spezifisch für eine bestimmte Zuordnung und gilt nach der Bereitstellung für alle Concentrators innerhalb dieser Zuordnung. Wenn ein Concentrator zwischen zwei Modulen mit verschiedenen Aufwärmphasen gemeinsam verwendet wird, verwendet der Concentrator separate Aufwärmphasenwerte für jede Modulzuordnung.

Verzögerungszeit (Minuten)

Gibt eine konstante Verzögerungszeit in Minuten an, die hinzugefügt wird, um zu vermeiden, dass Ereignisse, die in Zeiten mit hoher Aktivität von den Datenquellen verarbeitet werden, verloren gehen. Beispielsweise variiert die Concentrator-Performance in Abhängigkeit von Faktoren wie der eingehenden Last, laufenden Abfragen und Indexierung. Aufgrund von diesen Faktoren aggregiert ein Concentrator Ereignisse möglicherweise nicht in Echtzeit, was zu der Verzögerung führt.

Der Verzögerungsparameter verschafft dem Concentrator die Möglichkeit, die Aggregation aller Daten abzuschließen. Bei der Angabe einer Verzögerungszeit beginnt die Datenaggregation bei der ersten Bereitstellung des Moduls unter Aktuelle (System-)Zeit - Verzögerungszeit - Aufwärmzeit. Lautet die aktuelle Uhrzeit beispielsweise 14:00 Uhr, beträgt die Verzögerungszeit 30 Minuten und die Aufwärmphase 4 Stunden, startet die Datenerfassung bei der ersten Bereitstellung des Moduls um 9:30 Uhr (14:00 Uhr – 0,5 Stunden – 4 Stunden).

Nach Abschluss der Aufwärmphase wird die Datenaggregation mit der aktuellen (System-)Zeit - Verzögerungszeit fortgesetzt. Das ist hilfreich, wenn ein Concentrator bei der Datenaggregation langsam ist. Die Verzögerungszeit stellt sicher, dass das Modul keine Daten verarbeitet, die innerhalb des Verzögerungszeitfensters auf dem Concentrator eintreffen. Auf diese Weise ist eine ausreichende Verzögerung gegeben, damit alle Ereignisse, die im Unternehmen erzeugt werden, vom Modul verarbeitet werden können.

Wenn beispielsweise für die Verzögerung 30 Minuten und für die aktuelle Zeit 14 Uhr angegeben werden, beginnt der Concentrator um 13:30 mit dem Abrufen von Datensätzen. Das Verzögerungszeitfenster, in diesem Beispiel 30 Minuten, bleibt im Zeitverlauf konstant. Wenn die aktuelle Zeit auf 14:01 vorrückt, ruft der Concentrator die nächste Minute von Daten um 13:31 Uhr ab und so weiter.

Wichtig: Die Verzögerungszeit definiert den Puffer zwischen der aktuellen Zeit und der Zeit, zu der das Modul die Daten aufnimmt.

Der Wert der Verzögerungszeit ist spezifisch für eine bestimmte Zuordnung und gilt nach der Bereitstellung für alle Concentrators innerhalb dieser Zuordnung. Wenn ein Concentrator zwischen zwei Modulen mit verschiedenen Verzögerungszeiten gemeinsam verwendet wird, verwendet der Concentrator separate Verzögerungswerte für jede Modulzuordnung.

Achtung: RSA empfiehlt, dass Administratoren die Verzögerungsparameter basierend auf der Performance jedes einzelnen Concentrator dynamisch anpassen, um zu vermeiden, während der Aggregation Ereignisse zu vergessen.

Um die richtige Verzögerungszeit zu bestimmen, addieren Sie Folgendes, um eine ökologische Verzögerungszeit zu erhalten:

1. Protokoll- oder Paketlatenz – Dies ist die erforderliche Zeit, die der Log Decoder benötigt, um die Protokolle zu erhalten, oder der (Packet-)Decoder, um Pakete zu empfangen. Beispielsweise kann der Log Decoder alle 20 Minuten Protokolle erhalten. In diesem Fall sollten Sie die Verzögerungszeit auf mindestens 20 Minuten, vorzugsweise 25 Minuten festlegen, damit Ihnen kein Ereignis entgeht.

2. Aggregationslatenz – Dies ist die Zeit, die benötigt wird, um die Daten aus dem Log Decoder zum Concentrator zu übertragen.

3. Andere Puffer – Fügen Sie eine für Ihre Umgebung spezifische Zeit ein.

Aufwärmzustand

Der Abschnitt „Aufwärmzustand“ bietet Informationen über den Aufwärmstatus, den Sie verwenden können, um die entsprechenden Anpassungen für die Aufwärmphase zu bestimmen.

                               
FeldBeschreibung

Aufwärmen gestartet um

Die Zeit, zu dem das erste Ereignis vom ESA Analytics-Modul aus der Datenquelle verarbeitet wurde.

Zeit des ersten Ereignisses

Die Uhrzeit des ersten Ereignisses. Die Aufwärmphase basiert auf dieser Uhrzeit.

Zeit des letzten Ereignisses

Die Uhrzeit des letzten Ereignisses.

Verbleibende Aufwärmzeit

Die Anzahl der in der Aufwärmphase verbleibenden Stunden.

Abgeschlossen?

Gibt an, ob die Aufwärmphase abgeschlossen ist. Bei „true“ ist die Aufwärmphase abgeschlossen. Bei „false“ wird das Modul weiterhin aufgewärmt und Sie können die Anzahl der verbleibenden Stunden im Feld „Verbleibende Aufwärmzeit“ anzeigen.

 

You are here
Table of Contents > Referenzen > Moduleinstellungen

Attachments

    Outcomes