本地 云
下载PDF
此功能适用于 EventLog Analyzer 和 Log360。

# 规则库简介

最后更新于：2025年9月12日

本页面内容

- 规则库亮点
- 工作流程

Log360规则库是一个集中化的云端安全威胁检测规则库，旨在增强Log360识别潜在安全威胁的能力。该规则库主要基于两大标准：

- MITRE ATT&CK® 框架：规则直接映射至攻击者使用的战术与技术，使安全团队能够理解攻击背景并预测攻击者的下一步行动。
- Sigma规则：采用标准化格式编写的通用开源可信规则，已转换为Log360查询结构。

通过采用云端规则库，安全团队无需手动编写或更新每条规则，即可自动获取最新检测逻辑，从而始终领先于新兴威胁。

注：深入探索 Log360规则库及其安全情报包的功能。

## Log360规则库核心亮点：

- 内置2000余条预定义威胁检测规则，可识别内部威胁、外部威胁、恶意软件、APT攻击等各类威胁。
- 规则根据其关联的日志源进行分类，以便于实施。
- 规则同时映射至相关的MITRE ATT&CK®威胁建模框架。
- 可根据安全策略自动安装新威胁检测规则。确保系统在新规则发布后立即获得针对最新威胁和攻击的防护。

## 工作流

Log360的云交付系统托管由ManageEngine上传的检测规则，这些规则随后推送至Log360服务器。

请注意：Log360服务器需保持活跃的互联网连接以确保检测规则持续更新。对于离线或物理隔离环境，可通过下载最新规则库包并配置系统本地使用来实现规则更新。

规则更新后，您可在解决方案控制台的"可用规则"选项卡中进行安装配置。

本解决方案还提供自动安装选项，当ManageEngine团队将规则推送至规则库时，系统将自动更新您环境中的规则。

本指南将详细说明如何选择性安装规则或配置规则自动更新功能。

## 规则库概述

在规则库的中央视图中，规则属性以表格形式呈现。各列代表不同字段，可通过增删列自定义视图。规则库分为两个选项卡："可用规则"与"已安装规则"。

#### 规则库的核心要素包括：

- MITRE ATT&CK®映射：每条规则均与MITRE ATT&CK®框架中的战术和技术相对应，从而更清晰地洞察攻击者行为。
- 严重性分类：规则被分配严重性等级，帮助用户有效优先处理检测结果和响应行动。

通用组件：

这些组件同时存在于可用规则和已安装规则选项卡中。

组件 | 详细信息
--- | ---
规则名称 | 用于识别的规则名称。
严重性 | 显示规则的严重性级别，例如注意、严重或故障。
MITRE ATT&CK®映射 | 显示关联的MITRE ATT&CK®战术与技术。
标签 | 列出与规则相关的标签，例如数据源和数据组件。
规则类型 | 指定规则属于标准、异常或高级类型。
创建时间 | 规则首次添加的日期和时间。
最后修改时间 | 规则最后一次修改的日期和时间。
描述 | 提供规则检测内容的详细摘要，包括其目的和作者信息。

安装规则表格特有组件

字段 | 详细信息
--- | ---
执行间隔 | 定义匹配条件的发生方式。 持续：匹配传入日志，若匹配则直接触发检测。 智能模式：对索引日志运行匹配规则，若索引日志中存在匹配项则触发检测。
创建者 | 标识规则的来源。在此情况下，所有规则均由Log360创建。

另请参阅

本页介绍了规则库及其在增强威胁检测和架构中的作用。要了解如何在您的环境中管理和配置这些规则，请参阅：

- 规则安装
- 配置自动安装设置