ルールの編成

Active Correlation Technology ルール言語は、ルールをルール・セットの一部であるルール・ブロックに編成します。

ルール・セット

ルール・セットには、Active Correlation Technology エンジン によって実行される、ルール・ブロックに編成されたルールが含まれます。 これはルールの実行単位です。各 Active Correlation Technology エンジンは、一度に 1 つの ルール・セットについてのみ動作します。

ルール・セットに含まれるルールは、 Active Correlation Technology エンジンに送信されるイベントによって トリガーされます。イベントは、各ルールのイベント選択基準に基づいて 適切なルールに順次配送され、一度に 1 つのルールが 実行されます。同じイベントを複数のルールに適用 (その結果それらのルールをトリガー) することができます。 これらのルールは必ずしも関連しているとは限りませんが、関連している場合もあります。

ルール・セット内の ルール・ブロックおよびルールの順序により、ルール・セットにおいてイベントがどのようにフローするかが 決まります。

ルール・セットの有効範囲内の式 (カスタム・ロジックを含むコード) で 使用するために、ルール・セット・レベルで変数およびインポートを 定義できます。インポートは、外部コードにアクセスするためのプログラミング言語 特有の方法です。ルール・ライターは、インポートを定義して、ルール内の式で使用するために外部モジュール (Java™ クラスなど) をインポートすることができます。

ルール・ブロック

ルール・ブロックは、ルールを機能に応じてルール・セット内のドメインにグループ化するための編成単位です。ドメインは、 ルールのグループをその機能に基づいて適用するカテゴリーです。例えば、ドメインは、特定の地理上の区域、IT 管理規律 (セキュリティー検出 またはネットワーク・イベント相関など)、またはビジネス組織 (特定の 会社または会社の部門) を表すことができます。

ルール・ブロックには、 ルールおよび他のルール・ブロックを含めることができます。ルール・ブロックは ネストできるため、ルールの階層を構成できます。例えば、ルール・セットに ネットワーク・イベント相関のためのルール・ブロックを含めることができ、ネットワーク・イベント相関のためのルール・ブロックには、他の 2 つのルール・ブロック (1 つは第 2 層の相関、もう 1 つは IP の相関用) を 含めることができます。

したがって、ルール・セットは、 さまざまなドメインにイベント相関機能を提供し、ルール・ブロックは、 類似したイベントのセットにアクセスする必要がある可能性のある、これらのさまざまなドメインの編成を提供します。

ルール・ブロックの有効範囲内の式で使用するために、 ルール・ブロック・レベルで変数およびインポートを 定義できます。ルール・ブロックの有効範囲には、ルール・ブロックに含まれるルールおよび ルール・ブロックが含まれます。

ルール

ルールは、イベント間の関係を認識し、 適切なルール応答を実行するために使用される相関単位です。 ルールは、以下の 7 つのルール・パターンのうち 1 つのインプリメンテーションで、 その機能に応じて、ルール・セットの一部であるルール・ブロックに 編成されます。
  • コレクション・パターン
  • 計算パターン
  • 重複パターン
  • フィルター・パターン
  • シーケンス・パターン
  • しきい値パターン
  • タイマー・パターン

各ルールは、そのパターンに従って固有のイベント相関機能を提供でき、 ルールはイベント転送を介してチェーニングできます。このルールの チェーニングによって、さまざまなパターンのイベント相関機能を 結合またはネストできます。

ルールの有効範囲内の式で使用するために、 ルール・レベルで変数を定義できます。

サマリー

要約すると、ルール・セットは実行単位、 ルール・ブロックは編成単位、そしてルールは相関単位 です。ルール・セットには 1 つ以上のルール・ブロックが含まれ、各ルール・ブロックには追加の ルール・ブロックを含めることができます。各ルール・ブロックには、特定のドメインについてのルールが 含まれます。ルール・ブロックをネストさせて、ルールの階層を構成することができます。ルール・セット内の ルール・ブロックおよびルールの順序により、ルール・セットにおいてイベントがどのようにフローするかが 決まります。

ルール内の式で使用するために、ルール・セット・レベルまたはルール・ブロック・ レベルで変数およびインポートを定義できます。変数またはインポートの有効範囲は、 それぞれのルール・セットまたはルール・ブロックです。変数はルール・レベルでも 定義できますが、この場合その有効範囲はルールのみに制限されます。