規則的組織

「主動式相互關聯技術」規則語言會將規則組織到屬於規則集之一部分的規則區塊中。

規則集

規則集包含「主動式相互關聯技術」引擎要執行的規則 (這些規則會組織到規則區塊中)。它是規則執行單位。每個「主動式相互關聯技術」引擎每次僅處理一個規則集。

傳送至「主動式相互關聯技術」引擎的事件會觸發規則集中包含的規則。然後根據每個規則的事件選擇準則將事件連續傳遞給適當的規則,而且每次只執行一個規則。相同的事件可套用,因此會觸發多個規則。這些規則不一定必須相關,但可能相關。

規則區塊及規則集內之規則的次序能決定規則集中的事件流程。

可以在規則集層次定義變數及匯入,以用於整個規則集範圍內的表示式 (包含自訂邏輯的程式碼)。匯入是存取外部程式碼的一種程式設計語言的方式。規則撰寫者可以定義匯入來匯入外部模組 (例如,Java™ 類別),以用於規則內的表示式。

規則區塊

規則區塊是一種組織單位,可根據功能將規則分組成規則集中的網域。網域是一種種類,規則群組會根據規則的功能來套用至其中。例如,網域可以代表特定的地理區域、IT 管理紀律 (例如安全偵測或網路事件相互關聯),或商業組織 (例如特定的公司或公司的部門)。

規則區塊可以包含規則及其他的規則區塊。因為規則區塊可以是巢狀的,所以可以建構規則的階層。例如,規則集可能包含網路事件相互關聯的規則區塊,而網路事件相互關聯的規則區塊可能包含兩個其他規則區塊:一個屬於層次 2 相互關聯,另一個屬於 IP 相互關聯。

因此,規則集會為多種網域提供事件相互關聯功能,而規則區塊會為可能需要存取相似事件集合的組織提供不同的網域。

可以在規則區塊層次定義變數及匯入,以用於整個規則區塊範圍內的表示式。規則區塊的範圍包括規則區塊中包含的所有規則及其他規則區塊。

規則

規則是相互關聯單位,可用來識別事件之間的關係,以及執行適當的規則回應。規則是下列七種規則型樣之其中一種的實作,並且會根據其功能組織成屬於規則集之一部分的規則區塊:
  • 收集型樣
  • 計算型樣
  • 重複型樣
  • 過濾型樣
  • 序列型樣
  • 臨界值型樣
  • 計時器型樣

每個規則都可以根據其型樣提供唯一的事件相互關聯功能,並且可以透過事件轉遞來鏈接規則。透過鏈接規則,可以將不同型樣的事件相互關聯功能相互結合或組成巢狀結構。

可以在規則層次定義變數,以用於整個規則範圍內的表示式。

摘要

簡而言之,規則集是執行單位、規則區塊是組織單位,而規則是相互關聯單位。規則集包含一或多個規則區塊,每個規則區塊還可以包含其他的規則區塊。每個規則區塊都包含特定網域的規則。規則區塊可以是巢狀的,來建構規則階層。規則區塊及規則集內之規則的次序能決定規則集中的事件流程。

可以在規則集或規則區塊層次定義變數及匯入,以用於規則內的表示式。變數或匯入的範圍是各規則集或規則區塊。也可以在規則層次定義變數,但是這會將它們的範圍限制為規則。