本地 云
下载PDF
此功能适用于 EventLog Analyzer 和 Log360

# 创建自定义规则

最后更新于：2025年9月12日

在本页面

- 概述
- 规则创建
- 如何创建新规则？
- 标准规则
- 异常规则
- 高级规则

## 概述

本页面阐述构建自定义规则以检测安全事件的流程。您可创建标准规则进行基础过滤，异常规则用于识别单次事件的异常行为，或高级规则处理复杂的多步骤模式。每种规则类型均支持严重性、过滤器、阈值、异常模型及MITRE ATT&CK映射等字段，以增强上下文关联性并提升检测可操作性。

## 规则创建

#### 功能：

为特定环境构建安全规则的简易而强大的方法。

#### 使用场景：

创建任意类型安全规则（标准型、异常型或高级型），支持详细标签标注、MITRE ATT&CK映射及附加上下文（如前提条件和缓解措施）， 实现更优化的规则组织与可操作性洞察。

## 如何创建新规则？

1. 在产品控制台中，点击“安全”选项卡。
   图1：仪表板中的“安全”选项卡
2. 点击右侧的“管理规则”选项。
   图2：安全仪表板中的管理规则
3. 您将进入规则完整列表页面。在右侧区域， 您将看到"创建新规则"选项。点击该选项旁的下拉按钮。
   注意：若直接点击"创建新规则"， 系统将直接跳转至标准规则创建页面。
   图3：通过安全仪表板管理规则模块
4. 下拉菜单将展开显示标准规则、异常规则和高级规则三种创建选项。根据需求选择所需规则类型。

请继续阅读三种规则类型的创建指南。

### 标准规则

#### 创建标准规则的步骤

1. 导航至标准规则类型。系统将跳转至规则条件定义字段页面（如下图所示）。如需了解字段详情，请参阅《规则说明》帮助文档。
   图4：创建标准规则
2. 规则名称为必填项，规则描述为可选项。 点击 描述字段，弹出窗口将开启以便添加说明。
3. 从严重性级别中选择： 严重、 问题或 注意。该字段默认值为 严重。
4. 根据规则创建目的选择操作类型。 继续阅读了解 如何创建自定义操作。
   - 仅当规则需针对特定情况运行时， 才可应用过滤器。
   - 系统将根据所选操作及其日志格式显示字段列表。 若字段列表超过5项，将显示搜索选项以便定位目标字段。
   - 若字段列表超过5项，将显示搜索选项以便定位目标字段。
   - 若需在达到特定阈值后触发规则，可设置阈值条件。
5. 规则消息可用于在触发规则的检测报表中 显示格式化提示信息。
   - 消息中的字段将通过宏进行定义。
6. 规则洞察：MITRE ATT&CK映射等功能为可选项， 同样可针对单条规则进行配置。
7. 填写必填字段后，点击创建。
8. 操作成功完成后，将显示如下弹窗。

### 异常规则

#### 创建异常规则的步骤

1. 导航至异常规则类型。系统将跳转至规则定义页面， 该页面包含如下图所示的规则条件字段。 更多字段说明请参阅《规则理解》帮助文档。
   图5：创建异常规则
2. 规则名称为必填项，规则描述为可选项。点击描述栏， 将弹出编辑框供您添加说明。
3. 从严重性级别中选择： 严重、问题或注意。该字段默认值为 严重。
4. 根据规则创建目的选择操作类型。 继续阅读了解如何创建自定义操作。
   - 仅当规则需针对特定场景运行时， 方可应用过滤器。
   - 系统将根据所选操作及其日志格式显示字段列表。 若字段列表超过5项，将显示搜索选项以便定位目标字段。
   - 若字段列表超过5项，将显示搜索选项以便定位目标字段。
   - 若需在达到特定阈值后触发规则，可设置阈值。
5. 选择异常模型基础以定义如何检测偏离正常行为的情况。最多可选5个模型。
6. 规则消息可用于在触发规则的检测报表中显示格式化提示。消息字段将通过宏进行定义。
7. 规则洞察：MITRE ATT&CK映射等功能为可选项， 同样可针对单条规则进行配置。
8. 填写必填字段后，点击创建。
9. 操作成功完成后，将显示如下弹窗。

### 高级规则

#### 创建高级规则的步骤

1. 导航至高级规则类型。系统将跳转至规则条件定义页面， 该页面包含如下图所示的各项字段。 更多字段说明请参阅规则理解页面。
   图6：创建高级规则
2. 规则名称为必填项，规则描述为可选项。点击描述栏， 即可弹出编辑框添加说明。
3. 从严重性级别中选择： 严重、问题或注意。该字段默认值为 严重。
4. 规则条件

   使用交互式规则构建器编辑

   - 操作选择与标准规则创建相同， 但可根据现有关联规则 选择多个操作。 阅读后续内容了解如何创建自定义操作。
   - 过滤器和 阈值设置与标准规则创建相同。
   - 操作关联：当选择多个操作时， 可将这些操作相互关联， 以便关联涉及这些操作的事件， 并监控可疑活动。

   使用查询模式编辑

   - 此模式专用于高级规则构建，您可通过查询语法和查询语法 规则配置条件与参数。更多详情请参阅查询语法指南。
5. 若需安排规则执行计划，请在此处定义执行配置。
6. 规则消息也可用于在触发规则的检测报表中提供格式化消息。
   - 消息中的字段将通过宏进行定义。
7. 规则洞察：MITRE ATT&CK映射及其他功能为可选项， 同样可针对特定规则进行配置。
8. 填写必填字段后，点击创建。
9. 操作成功完成后，将显示如下弹窗。

什么是高计算规则？ 若任何规则应用了阈值，由于其计算密集度高，将进行许可计算，并标记为高计算规则。该指示标记将在规则列表中显示，并在创建该规则时可见。

#### 如何在高级规则中创建自定义操作？

1. 在规则配置中选择操作时，可根据需求创建自定义操作。 点击下图标注的 "创建自定义操作"按钮。 （下图标注位置）
   图7：创建自定义操作
2. 需定义的必填字段如下所示：
3. 通过设置字段值进行配置：
   - 操作名称和日志类型为必填字段。
   - 描述为可选字段。点击该字段可查看 描述框。
   - 操作消息用于显示所用操作的格式化提示信息。
   - 宏可添加至操作消息 格式中。
   - 操作条件将定义触发该特定操作必须满足的条件。
   - 宏等字段在下拉选项中的显示形式 会根据所选日志类型略有差异。
4. 输入所需字段值后，点击创建。
5. 操作成功完成后，将显示如下弹窗。

另请参阅

本文档阐述了创建新规则、配置标准规则/异常规则/高级规则的方法，以及通过自定义操作实现更灵活监控的设置流程。

- 规则管理概览
- 规则解析
- 查询语法
- 规则管理
- 计划检测报表