在文件审计模块中配置警报

创建和编辑警报

A) 全局警报

安装DataSecurity Plus后，若干内置全局警报将自动激活。这些警报可针对所有配置的服务器和域中的事件进行配置。更多信息，请参阅 此页面。您也可以根据具体需求创建自定义全局警报。

创建全局警报

创建全局警报步骤：

• 选择 文件审计 模块下拉菜单中的选项。
• 进入 配置 > 常规设置 > 警报配置.
• 在 全局警报 标签页，点击 添加全局警报 （右上角）。
• 为警报配置文件输入合适的名称和描述。
• 点击 + 选定服务器字段旁的 图标，选择您想应用此配置文件的服务器。 若想将此配置文件应用于未来添加到DataSecurity Plus的新服务器，勾选
• 将配置文件应用于新服务器 复选框。.
• 为警报分配适当的严重级别。
• 在 条件 部分，使用以下标签缩小触发警报的条件：
• 8.1. 使用 包含 标签选择您想为其创建警报的实体。
• 8.2. 使用 排除 排除
• 标签排除受信任实体。 8.3. 使用 阈值 标签配置基于阈值的警报（即当某段时间内事件数量超过指定值时触发警报）。点击 启用 1700 = ，设置触发警报的事件数量（例如， = 2 = 事件在： = 分钟内：).
• 相同用户 8.4. 使用 响应

标签完成以下操作：

• 8.4.1. 向利益相关者发送电子邮件通知： 点击.
• 邮件 > 启用邮件通知
• 输入希望接收警报邮件的电子邮件地址，地址之间用逗号分隔，确保地址中无空格。 选择 文件所有者 若要通知文件创建者，选择 调用者
• 若要通知触发警报的用户，或选择两者。 为邮件分配 优先级
• 等级。 通过提供 主题 和消息 个性化邮件。使用 自定义
• 选项可以包含用户名称、客户端和IP等警报详情。 如有必要，可在 “最多发送” 如有必要，可在 = 1 = 部分配置邮件发送频率限制。例如，若您设置了1分钟内10000次访问事件触发的阈值警报，并设定 = 1 = 封邮件在小时内

，出现初始警报后，每小时会发送一封邮件，若异常访问趋势持续。

• 8.4.1. 向利益相关者发送电子邮件通知： 8.4.2. 警报触发时自动执行响应动作：.
• 在 脚本 > 启用脚本 脚本文件
字段，选择您选择的脚本。您可以选择内置脚本或自定义脚本。注意：所有脚本文件，包括自定义脚本，必须存放于 <installation_directory>\bin\alertScripts 文件夹下，DataSecurity Plus方可执行。
• 在 参数 字段，按预期顺序选择参数，确保响应正确执行。
字段，选择您选择的脚本。您可以选择内置脚本或自定义脚本。： 脚本的示例命令行格式 文本框显示参数执行顺序。
• 选择一个或多个响应后，点击 保存.
字段，选择您选择的脚本。您可以选择内置脚本或自定义脚本。：排除过滤器优先于包含过滤器。

例如，您要禁用批量删除文件的用户，警报配置如下：

包含：动作 = 包含 = 删除

用户对象 = 包含 = 全部

阈值限制：50 = ，设置触发警报的事件数量（例如， = 1 = 事件在： = 分钟内：

脚本文件： disableADAccount

参数： 用户名

修改全局警报

修改现有全局警报步骤：

• 选择 文件审计 模块下拉菜单中的选项。
• 进入 配置 > 常规设置 > 警报配置.
• 在 全局警报 标签页内， 操作 列中，您会发现每个已配置警报旁都有一个编辑图标。点击 编辑图标 在您想要更新的警报旁边。
• 更新所需的详细信息。
• 8.4.1. 向利益相关者发送电子邮件通知： 保存，然后点击 确定.

B) 服务器特定警报

当之前的安装（构建号6060之前）更新到最新构建时，现有的自定义警报将被移至 服务器特定警报 选项卡。当在 服务器名称 该选项卡的字段中选择服务器时，适用于所选服务器的全局警报和服务器特定警报会显示在相应的表格中。

创建服务器特定警报

要创建服务器特定警报：

• 选择 文件审计 模块下拉菜单中的选项。
• 进入 配置 > 常规设置 > 警报配置.
• 点击 服务器特定警报 选项卡。
• 在 服务器名称 字段中，选择您想要自定义警报的服务器。
• 8.4.1. 向利益相关者发送电子邮件通知： 点击选项卡右上角的“添加服务器警报”。 选项卡右上角。
• 为警报配置文件输入合适的名称和描述。
• 为警报分配适当的严重级别。
• 在 条件 部分，使用以下标签缩小触发警报的条件：
• 8.1. 使用 包含 标签选择您想为其创建警报的实体。
• 8.2. 使用 排除 排除
• 标签排除受信任实体。 8.3. 使用 阈值 标签配置基于阈值的警报（即当某段时间内事件数量超过指定值时触发警报）。点击 启用 1700 = ，设置触发警报的事件数量（例如， = 2 = 事件在： = 分钟内：).
• 相同用户 8.4. 使用 响应

标签完成以下操作：

• 8.4.1. 向利益相关者发送电子邮件通知： 点击.
• 邮件 > 启用邮件通知
• 输入希望接收警报邮件的电子邮件地址，地址之间用逗号分隔，确保地址中无空格。 选择 文件所有者 若要通知文件创建者，选择 调用者
• 若要通知触发警报的用户，或选择两者。 为邮件分配 优先级
• 等级。 通过提供 主题 和消息 个性化邮件。使用 自定义
• 选项可以包含用户名称、客户端和IP等警报详情。 如有必要，可在 “最多发送” 如有必要，可在 = 1 = 部分配置邮件发送频率限制。例如，若您设置了1分钟内10000次访问事件触发的阈值警报，并设定 = 1 = 封邮件在小时内

，出现初始警报后，每小时会发送一封邮件，若异常访问趋势持续。

• 8.4.1. 向利益相关者发送电子邮件通知： 8.4.2. 警报触发时自动执行响应动作：.
• 点击 + 选定服务器字段旁的 脚本 > 启用脚本 字段中选择您想要的脚本。您可以选择内置脚本或创建自己的脚本。
字段，选择您选择的脚本。您可以选择内置脚本或自定义脚本。注意：所有脚本文件，包括自定义脚本，必须存放于 <installation_directory>\bin\alertScripts 文件夹下，DataSecurity Plus方可执行。
• 在 参数 字段中，选择您想要传递的参数，按照执行的预期顺序。 命令行示例格式 的 脚本 文本框显示参数执行顺序。
• 选择一个或多个响应后，点击 保存.
字段，选择您选择的脚本。您可以选择内置脚本或自定义脚本。：排除过滤器优先于包含过滤器。

例如，如果您想在删除特定文件时禁用任何机器的网络访问，请使用以下详细信息配置警报设置：

包含：动作 = 包含 = 删除

当前文件名 = 包含 = EmployeeData

脚本文件： disableNetwork

参数： 主机名

修改服务器特定警报

要修改现有服务器特定警报：

• 选择 文件审计 模块下拉菜单中的选项。
• 进入 配置 > 常规设置 > 警报配置.
• 点击 服务器特定警报 选项卡。
• 在表格的 操作 列中，点击 编辑图标 在您想要更新的警报旁边。
• 更新所需的详细信息。
• 8.4.1. 向利益相关者发送电子邮件通知： 保存，然后点击 确定.

自动警报响应

用户可以指示 File Audit 模块在警报触发时执行响应操作。为此，您必须在配置警报时在 脚本 > 启用脚本 字段中关联所需的脚本文件。脚本文件可以是 PowerShell 文件、VBScript 文件、可执行文件和批处理文件。这些自动化、多功能的响应帮助您在检测到安全事件的瞬间执行补救操作，减少造成的损失。

若要将这些命令定位到网络中的特定实体，请配置一个或多个 参数 来为命令提供必要的输入。选定的参数将在命令中被警报事件中的相应值所替换。

参数及其说明

以下参数可根据配置的警报配置文件使用。

触发警报的通知邮件示例

默认脚本响应

DataSecurity Plus 安装包包含一些用于常用响应操作的内置脚本。部分示例如下表所示：

*下列服务需在安装 DataSecurity Plus 的机器上启用，才能成功执行某些脚本文件。

• Windows 远程管理
  • 在开始菜单中输入 服务 并打开 服务 窗口。
  • 选择 Windows 远程管理（WS - Management）服务。
  • 在窗口左侧窗格中的 本地服务（Services (Local)）下，点击 启动服务.
• RSAT：Active Directory 域服务和轻型目录服务工具
  • 在开始菜单中输入 在开始菜单中打开 应用和功能
  • 选择 可选功能 并点击 添加功能 在左上角。
  • 在开始菜单中输入 RSAT：Active Directory 域服务和轻型目录服务工具 在搜索栏中输入，选择它并点击 安装.

为警报脚本生成密码

我们建议为脚本文件生成加密密码，用于在执行脚本时进行身份验证。设置密码，请按以下步骤操作：

• 导航至 [installation_directory]\bin\alertScripts > helper 文件夹。
• 执行 generatePassword.bat 脚本以设置身份验证。
• 在 Windows PowerShell 凭据请求 窗口，在 用户名 主题 密码 字段旁输入您的 PowerShell 凭据以生成加密密码。确保输入正确密码以验证服务器身份。
• 8.4.1. 向利益相关者发送电子邮件通知： 确定.
字段，选择您选择的脚本。您可以选择内置脚本或自定义脚本。：与密码生成相关的文件将在 helper 文件夹中生成，位于 [installation_directory]\bin\alertScripts 路径中。为确保生成的密码脚本文件正常运行，建议不要移动 helper 文件夹及其文件。

禁用警报

您可以禁用警报以暂时停止触发。禁用警报的步骤：

• 选择 文件审计 从应用程序下拉菜单中选择。
• 进入 配置 > 常规设置 > 警报配置。
• 若要禁用服务器特定警报，请在 服务器特定警报 选项卡中选择该服务器。否则，保持在 全局警报 选项卡。
• 从表格中选择您想禁用的警报旁的复选框。
• 点击 点击表格顶部的禁用 图标。

选中的警报将被禁用。

删除警报

要永久删除警报：

• 选择 文件审计 从应用程序下拉菜单中选择。
• 进入 配置 > 常规设置 > 警报配置。
• 选择对应要删除的警报类型的选项卡。
• 从表格中选择您想删除的警报旁的复选框。
• 点击 点击删除 图标。
• 8.4.1. 向利益相关者发送电子邮件通知： 确定 以确认操作。

选中的警报将被删除。