アドレスを使用する設定に戻ります。追跡対象の接続に基づいてどのようなときに相関イベントを生成するかを指定する接続トラッカー条件を作成するには、次の表の説明に従います。次のいずれかを入力します。次のいずれかを入力します。Packets)])一意のイニシエータまたは一意のレスポンダ次のいずれかになります。ファイルをアーカイブし、通常、ネットワーク外のホストはネットワーク内のホストへの接続を開始することはないシナリオを考慮します。以上の接続が開始された場合には注意が必要だと判断するとします。ネットワーク外からネットワーク内に発生したときに、基準に適合するトラッキング接続を開始するように指定します。つの接続(発信側の接続を含む)が検出されても相関イベントを生成します。トラフィックが上記の相関ルールをトリガーとして使用できる方法を示します。この例では、相関ルールの基本的条件に適合する接続が検出されました。ネットワーク外のホストからネットワーク内のホストへの接続が検出されました。これにより、接続トラッカーが作成されました。接続トラッカーは、次のステージで処理します。接続が検出されると、トラッキング接続を開始します。つの認定されている接続を検出します。ルール条件が適合します。最後に、相関イベントを生成し、トラッキング接続を停止します。データの転送が検出された場合は相関イベントを生成するシナリオを考慮します。プロトコルを検出したときにトリガーとして使用される相関ルールを以下の図に示します。バイト)のデータを転送した場合にのみルールがトリガーとして使用されるように制約します。トラフィックが上記の相関ルールをトリガーとして使用できる方法を示します。プロトコルを検出しました。介してデータを転送しました。この接続トラッカーは以下の手順で処理されます。秒マーカーで接続のトラッキングを開始します。秒マーカーにより)、接続トラッカーは無効になる点にご注意ください。接続を追跡し始めます。転送されていることを検出しました。7340032)、ルールはトリガーとして使用されません。転送が検出されない場合に、トラッカーは無効になり、相関イベントは作成されません。転送が検出され、次のルールの条件が満たされます。MB)最後に、相関イベントが生成されます。インスタンスについてはトラッキング接続を停止します。プロトコルを用いて新しい接続が検出されると、新しい接続トラッカーが生成されます。転送した後に相関イベントが生成される点にご注意ください。これは、セッションが終了するまで接続データを計算することはないためです。相関ルールでスヌーズ期間を設定することができます。スヌーズ期間を設定すると、相関ルールがトリガーとして使用されたとき、指定した時間間隔内にルール違反が再び発生しても、システムはその期間中はルールのトリガーを停止します。スヌーズ期間が経過すると、ルールは再びトリガー可能になります(新しいスヌーズ期間が始まります)。通常はトラフィックをまったく生成しないはずのホストがネットワーク上にあるとします。トラフィックによっては、短時間に多数の相関イベントが生成される可能性があります。ポリシー違反を示す相関イベントの数を制限するために、スヌーズ期間を追加できます。これにより、(指定した期間内に)システムで検出されたそのホストに関連する最初の接続に対してのみ、システムは相関イベントを生成します。相関ルールで非アクティブ期間を設定することもできます。非アクティブ期間中は、相関ルールはトリガーとして使用されません。非アクティブ期間を毎日、毎週、または毎月繰り返すように設定できます。スキャンを実行するとします。この場合、相関ルールが誤ってトリガーとして使用されないよう、毎日のスキャン時間帯に、該当する相関ルールで非アクティブ期間を設定することができます。相関ルールの作成メカニズム相関ルールは、ルールがトリガーされる条件を指定して作成します。条件で使用できるシンタックスは、作成しようとしている要素により異なりますが、メカニズムはすべて同じです。つの部分からなります。プロファイル認定、接続トラッカー、ユーザ認定のどれを作成しているのかに応じて、選択できるカテゴリが異なります。タイプにより選択できるカテゴリが異なります。条件によっては、それぞれ独自の演算子と値を持つ複数のカテゴリが含まれることがあります。条件に使用可能な演算子はカテゴリによって異なります。条件の値を指定するために使用できるシンタックスは、カテゴリと演算子に応じて異なります。フィールドに値を入力する必要があります。複数の値)を選択できます。新しいホストが検出されるたびに相関イベントを生成するには、条件を一切含まない単純なルールを作成できます。つの条件を追加できます。演算子でつなげる必要があります。同じレベルにある複数の条件は、一緒に評価されます。演算子は、制御対象のレベルにあるすべての条件を満たす必要があることを示します。つの条件が満たされなければならないことを示します。複合条件を形成しています。論理的には、ルールは次のように評価されます。パフォーマンスが低下する可能性があります。ロギングするすべての接続に対して、複数の条件からなるルールをシステムが評価しなければならない場合、リソースが過負荷になる可能性があります。1相関ルールエディタで、単純条件または複合条件を追加します。