PSOE#2(detection-engineering)
単一イベントルール (single-event rule) と複数イベントルール (multi-event rule) を区別する最も明確な要素は何ですか。
正解：D
正解の根拠
events セクション内で event variable を一つだけ宣言する場合は single-event rule、複数宣言する場合は multi-event rule になります。複数の場合はジョイン条件で関連付けが必要です。
| 種別 | event variable 数 |
|---|---|
| single-event | 1 個 |
| multi-event | 2 個以上 |
不正解の理由
- A の author 数はメタ情報であり、検知種別の判定とは無関係です。
- C の outcome は両方の種別で任意であり、種別判定要素になりません。
- D のプレフィックスは命名規約にすぎず、エンジンの判定条件ではありません。
コメント