Definição de regras de expiração

  • Versão de lançamento: Yokohama
  • Atualizado 30 de jan. de 2025
  • 2 min. de leitura

    • Defina regras de expiração para vários observáveis ou uma combinação de vários objetos de origem ou origem de indicadores que são criados no TISC.

    Antes de Iniciar

    Cada origem criada na aplicação tem um período de expiração. Os feeds de dados usam técnicas como o período de expiração baseado em tempo para aumentar a ingestão de dados. No TISC, as regras de expiração definem o tempo de expiração de um conjunto específico de fontes de dados ou conjunto de tipos de objetos ou tipos de observáveis.

    Função necessária: sn_sec_tisc.admin

    Procedimento

    1. Navegar até Tudo > Central de segurança de inteligência contra ameaças > Administração.
    2. Selecionar Regras de expiração.
      A página Regras de expiração é exibida.
    3. Clique em Nova.
      CampoDescrição
      Nome Insira um nome para a regra de expiração.
      Descrição Insira uma descrição para a regra de expiração.
      Período de expiração (dias) Especifique o tempo após o qual os dados ingeridos devem expirar ou ser considerados desatualizados.

      Insira o período de expiração do observável em dias. Por exemplo, 100 dias.

      Nota:
      Quaisquer que sejam os dados ingeridos da origem, eles expirarão 100 dias após a ingestão.
      Fontes de dados Indica a regra de expiração da fonte de dados atual. Selecione a lista de fontes de dados na pesquisa.
      Nota:
      Não selecione este campo e certifique-se de deixá-lo em branco se quiser selecionar todas as fontes de dados.
      Se você quiser selecionar o indicador como um objeto, deverá selecionar o objeto e, em seguida, selecionar o valor Tipo de registros como Indicador.
      Nota:
      Por padrão, uma regra de expiração de exemplo sn_sec_tisc_m2m_entity_rules é provisionada para os usuários no sistema de base. Para observáveis, esta amostra de regra de expiração estará no estado desabilitado. Você deve habilitar e ativar a regra. Para aplicar a regra nos registros de origem, você deve habilitar a regra.
      Categoria Indica o tipo de categoria de regra de expiração para a fonte de dados atual. Selecione o tipo de categoria na lista suspensa, como observável ou objeto.
      Tipo de registros Selecione o tipo de registros.
    4. Clique em Habilitar para habilitar a regra de expiração depois de criar uma nova regra.
      Se você não habilitar a regra de expiração, a regra não será aplicada ao registro de origem.
      Nota:
      • Sempre que você habilita uma regra de expiração, uma verificação de duplicação acontece em segundo plano para verificar se há alguma regra duplicada no sistema com a mesma combinação de fontes de dados e tipo de registros. Em caso afirmativo, a aplicação solicitará uma mensagem informativa de que a regra já contém a mesma combinação de fonte de dados e categoria de objeto e que você deve modificar a combinação existente para habilitar a regra.
      • Uma regra de expiração de amostra é provisionada para os usuários no sistema de base e esta regra de expiração de amostra para observável estará no estado desabilitado por padrão e você deve habilitar e ativar a regra.
    5. Clique em Salvar.
    6. Clique em Excluir se quiser excluir qualquer regra de expiração.