本地 云
下载PDF
此功能适用于 EventLog Analyzer 和 Log360

# 管理规则

最后更新于：2025年9月12日

在本页面

- 概述
- 访问管理规则页面
- 管理规则表中的字段
- 操作列
- 启用/禁用规则
- 克隆规则
- 编辑规则
- 删除规则
- 过滤规则
- 其他规则管理配置
- 规则名称列
- 规则详情
- 前提条件
- 缓解措施
- 执行详情
- 规则调整
- 严重性
- MITRE Att&ck映射
- 标签
- 执行模式与状态
- 告警配置文件
- 创建者
- 规则类型
- 安装时间
- 最后修改时间
- 检测

## 概述

本页面说明如何使用"管理规则"模块通过集中视图管理所有检测规则。涵盖启用、禁用、克隆、编辑、删除、过滤以及导入/导出规则等操作。 每个规则条目均提供详细信息， 包括严重性等级、MITRE ATT&CK映射、标签、执行模式、告警配置文件及 检测历史记录。规则调优、前提条件和缓解步骤等附加功能 可协助管理员优化检测效果、提升性能，并使规则与 安全框架保持一致。

## 访问管理规则页面

1. 通过仪表板导航至安全选项卡，点击 如下图所示的 管理规则。
   图1：安全仪表板中的规则管理界面
2. 您将进入规则管理页面，该页面显示完整的规则列表（如下图所示）。此页面是创建、编辑、启用、禁用检测规则及其告警的核心枢纽，通过搜索、筛选和批量操作功能实现规则管理的自动化。
   图2：通过安全仪表板管理规则模块

## 规则管理表中的字段

### A. 操作列

操作列作为媒介，供您根据需求对规则执行必要操作。 以下是"管理规则"模块中可用的规则操作：

- 启用/禁用规则
- 克隆规则
- 编辑规则
- 删除规则

图3：规则管理模块中的可用操作

#### 启用/禁用规则

启用规则

1. 点击操作列中的禁用图标 即可启用规则。
2. 执行此操作后，图标将显示规则已启用 ， 下方弹出提示将短暂显示。

禁用规则

1. 点击操作列下的启用图标 可禁用该规则。
2. 若该规则关联了告警配置文件，将弹出确认操作窗口。 点击"是"继续。
3. 执行此操作后，图标将显示规则已禁用 并短暂弹出以下提示信息。

批量启用/禁用规则

1. 点击第一列中的空白复选框以选中相应规则。
2. 点击规则列表上方功能区中的启用/禁用图标。
   图4：规则管理模块中的批量操作
3. 操作成功完成后，将显示以下弹出窗口。

启用状态：

禁用时：

#### 克隆规则

1. 点击"操作"列中的克隆图标 ， 即可克隆对应规则。
2. 根据规则类型（标准、异常或 高级），系统将跳转至该规则的 特定配置页面。
3. 在字段值中进行必要修改以定制克隆规则， 点击创建。
4. 操作成功后将显示如下弹窗。

## 编辑规则

1. 点击"操作"列中的编辑图标 ， 即可编辑对应规则。
2. 根据规则类型（标准、异常或 高级），系统将跳转至该规则的 特定配置页面。
3. 在字段值中进行必要编辑后，点击更新。
4. 规则将在规则列表中即时更新。

## 删除规则

1. 点击第一列的空复选框以选中相应规则。
2. 随后点击规则列表上方功能区中的删除图标 。
3. 此时将弹出操作确认窗口，点击"删除"。
图5：在管理规则模块中删除规则
4. 操作成功完成后，将显示下方弹窗。

## 过滤规则

1. 点击规则列表上方功能区中的筛选图标。
   图6：规则管理模块中的规则筛选功能
2. 将显示以下筛选选项。
3. 可同时选择多个筛选器。单击筛选器即可选中 该项。若需取消选中，请再次单击 该筛选器。点击任何 筛选选项时，规则将即时完成筛选。
4. 点击“清除筛选”选项可撤销对规则的所有/任意筛选操作。

## 其他规则管理配置

1. 点击第一列中的空复选框，即可选中 您希望配置的相应规则。
2. 在规则列表上方的功能区中，提供进一步管理规则的选项。
   图7：规则管理模块中的规则管理操作
3. 点击该选项可展开“管理”选项卡的配置内容。
4. 配置：
   - 导入：通过上传包含规则的文件导入所需规则。
   - 导出：即时下载所选规则及配置详情。此选项仅适用于自定义创建的规则。
   - 启用告警配置文件：点击此项为所选规则启用告警配置文件， 配置将即时更新并显示 下方弹窗。
   - 禁用告警配置文件：点击此项可禁用所选规则的告警配置文件， 配置将即时更新 并显示下方弹窗。
   - 更新严重性：点击/悬停查看三个严重性级别， 选择要应用的级别。

配置将即时更新， 并显示如下弹窗。

### B. 规则名称列

规则名称列列出了迄今为止配置的所有规则名称。

图8：管理规则模块中的规则名称

点击任意规则名称将弹出规则摘要框。该框包含4个子选项卡：

- 规则详情
- 前提条件
- 缓解措施
- 执行详情

#### 规则详情

提供规则概要及相关详细信息，并支持为该规则添加 例外情况。

图9：管理规则模块中的规则详情

1. 规则名称：显示您为该规则分配的唯一名称。
2. 规则类型：显示该规则所属的类别—— 标准、异常或高级。
3. 规则描述：显示您为该规则添加的描述（如有）。
4. 规则状态：显示规则当前处于 活动状态或非活动状态。
5. 创建者：显示创建此规则的用户（通过其在本网络中的角色标识）。
6. 严重性：显示规则配置时设定的严重性等级—— 严重、故障或 注意。
7. 日志格式：显示与规则关联的日志类型。
8. 执行类型：显示规则设置的执行配置模式——持续执行；每5分钟 /10分钟 /30分钟 /1小时 定时执行；自定义模式。
9. 标签：根据行业或类型对规则进行分类。
10. MITRE ATT&CK：将规则映射至相关的MITRE战术与 技术。
11. 判定条件：以查询格式展示规则条件。
    - 例外： 例外条款定义检测引擎排除特定案例的判定标准。 若规则例外条款的设定条件匹配，则不会生成检测记录。 点击"添加例外"按钮时， "添加规则例外"框将滑出展开。
      - 点击添加例外按钮时， 添加 规则例外框将滑动展开。
      - 您可在此配置希望从检测 和报表中排除的例外情况。
      - 点击"保存"按钮即可保存规则例外。
      - 操作成功完成后，将显示以下弹窗。
      - 若需重置并重新配置该例外，可点击 清除例外，配置将被重置。
      - 若需中止操作，请点击“取消”。

#### 前提条件

此子选项卡提供界面供您检查并确保规则所需依赖项已满足，以实现正确检测。

图10：规则管理模块中的规则先决条件

#### 缓解措施

此子选项卡提供操作界面，供您执行推荐措施以降低风险并 防范未来威胁。预定义规则的缓解措施已预先添加，而自定义规则 的缓解措施需由用户手动添加。

案例1：规则配置中已存在缓解步骤。

- 缓解措施ID：列出与检测到的规则或威胁相关的MITRE ATT&CK缓解技术。
- 描述：提供可操作的指导，说明如何减轻或降低威胁的影响，例如配置更改、安全策略或最佳实践。
- 误报率：指示特定检测规则产生误报的可能性。
图11：规则管理模块中的规则缓解

情况2：规则配置中不存在缓解步骤。

在这种情况下，默认该特定规则无需采取任何缓解措施。

#### 执行详情

用于根据内存使用情况识别计算密集型连续规则。同时显示当前收集的日志中哪些属于该规则的处理对象。

图12：规则管理模块中的规则执行详情

执行模式：

1. 执行模式：显示规则设置的执行配置模式——持续执行；每5分钟、10分钟、30分钟、1小时 定时执行；自定义模式。
2. 诊断信息：提供规则产生的资源使用情况和活动分析， 帮助您验证规则执行过程中的表现。
   - 操作名称：显示与该特定检测关联的事件/操作。例如：登录成功。
   - 内存利用率：近实时跟踪操作执行期间的总内存消耗。
   - 命中次数：近实时跟踪该操作的总命中次数。
3. 执行历史记录：显示规则历史执行时间线， 包含每次运行记录的事件计数和内存消耗。 便于您回顾规则随时间的性能表现并排查异常。
4. 请参阅规则理解页面，了解 连续模式与计划模式 执行模式的差异。

#### 规则调优

规则调优功能可帮助管理员通过优化查询执行来完善检测规则。该功能分析规则处理方式，并提供可操作的性能改进建议。应用这些建议可降低执行负载、提升查询速度并消除冗余噪声。规则调优可协助管理员实现以下优化：

- 通过减少不必要的执行开销来提升规则性能。
- 防止查询运行时超时和延迟。
- 通过排除已知或重复模式，最大限度减少误报。
- 随着日志量增长，帮助扩展检测效率。

注意：调优建议基于查询响应分析生成。应用后可能影响结果一致性，实施前请仔细核查。

1. 点击规则摘要框右上角的图标，可查看规则调优配置框。
2. 规则调整面板随即展开，显示：
   - 规则条件与操作。
   - 调优见解与建议。
   - 规则执行预览及图形化输出。

可用操作：

1. 调优洞察
   - 提供基于操作的建议，例如：
     - 添加分组字段以减少查询执行次数。
     - 使用 Limit 运算符控制基数。
     - 排除特定用户名、设备或字段以降低负载。
   - 您可以：
     - 应用单项调优方案。
     - 使用“应用所有调优”进行批量优化。
2. 规则预览
   - 生成示例输出图，展示查询执行趋势。
   - 显示执行时间和数据结果（例如用户名、设备）。
   - 帮助验证调优是否在不降低准确性的前提下提升了效率。
3. 处理查询超时
   - 若计划任务因查询超时失败，可执行以下操作：
     - 调整查询超时值。
     - 应用推荐的调优方案。
     - 手动配置例外规则以过滤已知模式。

示例用例：暴力破解检测

以暴力破解规则为例，该规则可在特定时间段内检测失败与成功的 Windows 登录尝试。

- 未经调优时，该规则可能返回大量数据集导致执行延迟。
- 通过调优，您可实现：
  - 按用户名/设备添加分组。
  - 限制分析结果数量。
  - 排除重复用户名或设备以降低执行负载。

结果：查询响应更快、噪声减少、暴力破解尝试检测效率更高。

规则调优最佳实践

- 应用调整前务必预览规则。
- 避免过度过滤，以免屏蔽真实告警。
- 对重复模式采用手动例外处理，而非禁用规则。
- 随着日志量和攻击模式的变化，定期重新审视调整建议。

### C. 严重性

显示规则设置的严重性级别——危急、故障或注意。

### D. MITRE ATT&CK映射

与规则关联的战术与技术分类，遵循MITRE ATT&CK框架。

### E. 标签

附加上下文标签，如威胁行为者、软件、行业领域等规则关联信息。

### F. 执行模式与状态

显示每条规则设置的执行配置模式。

### G. 告警配置文件

- 提供创建告警配置文件的选项，用于管理此处列出的所有规则。
- 点击"创建告警配置文件"选项后， 对应规则的告警配置文件将立即生成，并弹出如下窗口：
- 点击上述弹窗中的"点击此处"选项， 将跳转至"编辑告警配置文件"模块。阅读 告警配置文件 帮助页 帮助页面以了解如何编辑和分配告警 配置文件。

### H. 创建者

显示创建此规则的用户（通过其在本网络中的角色进行标识）。

### I. 规则类型

显示规则类别——标准、异常或高级。

### J. 安装时间

显示规则从规则库安装的时间。

### K. 最后修改时间

显示规则最近一次修改的时间。

### L. 检测记录

点击“查看检测”链接可查看该规则触发的所有检测记录。系统将显示该规则的周期性检测图表，如下所示。

图13：规则管理模块中的规则检测详情

检测详情包含以下信息：

- 检测图：
  - 通过可视化图表展示触发相应规则的事件计数随时间变化趋势，便于快速发现异常。点击图表旁的下拉箭头，即可选择不同类型的图表进行查看。
- 事件日志表：显示触发规则的每个检测事件详情， 包括结束时间、事件ID、日志源、时间、用户名、域、消息等。 点击数据表右上角图标可 选择/取消选择并 添加需以列形式显示的字段， 可从众多选项中选择字段。
  图14：规则管理模块中的规则检测详情列

检测模块可用操作：

- 点击按钮可选择导出格式，支持PDF或CSV文件格式。
- 点击报表导出历史记录图标 ，可查看该特定报表所有历史数据导出记录。
- 您还可通过点击按钮自定义检测时间范围

您可执行：

- 选择所需时间范围的起始日期和结束日期。
- 点击符合需求的预设时间范围选项。
- 点击"自定义范围"，在下方输入框中输入数字 该数字代表您希望查看的过去天数数据。
- 点击应用。

计划报表

注意：您可直接通过“管理规则”模块访问检测报表。阅读《计划检测报表》以了解更多详情。

1. 点击下图所示的“计划报表”选项。
   图15：规则管理模块中的定时报表设置
2. 系统将显示该规则报表（如有）的可用排程选项。
3. 您可以通过以下步骤为特定规则创建计划：
   - 点击下图所示的“创建计划”按钮。
     图16：在规则管理模块中创建定时报表
   - 点击后弹出窗口将显示创建 计划所需的字段。
   - 填写必要字段：
     - 计划详情
       - 计划名称：为计划分配唯一名称。
       - 计划频率：定义计划 的运行周期（每小时、每日、每周或每月）。
       - 导出时间范围：指定需包含的数据时间区间（例如过去24小时、过去7天或自定义）。
       - 报表格式：选择导出报表的首选格式（PDF、CSV、XLS）。
     - 通知
       - 选择模板：选用预定义报表模板或自定义模板。
   - 配置完成后点击保存。成功保存后， 弹出框将显示更新后的计划， 并附带确认信息。
   - 您也可通过点击弹出框中的编辑图标（） 编辑计划。 相同字段将显示供编辑。
   - 编辑后点击更新。操作成功后， 计划将在弹出框中更新， 并显示确认信息。

另请参阅

本文档阐述了如何浏览管理规则页面、执行规则关键操作、 查看详细规则摘要、优化性能以及生成检测报表以进行深入 分析。

- 规则管理概览
- 规则解析
- 创建自定义规则
- 查询语法
- 计划检测报表