本地 云
下载PDF
此功能仅适用于 Log360

# Active Directory对象过滤用于规则精细调整

最后更新于：2025年9月12日

本页内容

- 概述
- 功能范围
- 对象选择与筛选
- Active Directory 对象过滤器行为
- 前提条件
- 工作流架构
- 使用案例
- 限制

## 概述

基于对象过滤器的Active Directory规则精细化调整，可通过针对特定AD对象应用检测规则来优化配置，从而降低误报率、缓解告警疲劳并提升规则准确性。 通过直观的对象过滤界面，该解决方案支持您在图形用户界面（GUI）中定义用户、组或组织单位（OU）。此机制确保监控能自动适应目录变更，简化规则部署流程，并提升告警相关性。

通过重新设计的检测机制，对象过滤器可帮助安全运营中心团队针对特定用户、组或OU精细化调整检测策略，从而降低误报率并确保告警始终具备可操作性，有效缓解告警疲劳问题。

注：当前对象过滤功能仅适用于预定义的Windows和Active Directory规则。

## 功能范围

对象过滤功能可通过以下模块访问：

- 规则库
- 规则管理
- 告警

## 对象选择与过滤

### 对象选择方法

1. 直接对象选择

- 您可以直接使用Active Directory同步数据选择对象。
- 除非再次修改，否则所选对象的选定状态保持不变。

2. 基于组或组织单位（OU）的对象选择

- 您可指定特定组织单位或组，代替直接选择对象。
- OU 或 群組 內的成員物件會根據 Active Directory 同步資料動態指派。

3. 手动输入值

- 除域中的值选择外，您还可定义手动值。
- 在手动值中输入的对象名称将与所有域中的条件进行匹配

### 字段特定对象筛选器

字段 | 可用的对象过滤器选项
--- | ---
用户 | 用户、基于组的用户、基于OU的用户
计算机 | 计算机，或 域控制器、成员服务器、工作站
群組 | 基于组、基于OU的组
OU | OU

## Active Directory 对象筛选器行为

1. 筛选器中的域对象同步

对象同步行为取决于对象筛选器中选定的选项卡：

- 直接对象选择
  - 仅对所选对象类型执行同步。
- 基于OU的对象选择
  - 同步包括组织单位及其关联的对象类型。
  - 例如，若基于OU选择用户，则相应同步OU和用户对象。
- 基于组的对象选择
  - 为准确解析组成员关系，必须执行成员资格同步。
  - 根据框架设计，这涉及同步用户、计算机、OU 和组对象作为完成成员资格解析过程的必备组件。

2. 筛选器中的域选择

对象筛选器中的域行为取决于功能使用上下文：

- 在告警配置文件中
  - 对象过滤器中列出的域基于告警配置文件中选择的域。
- 在规则中
  - 对象过滤器中列出了所有可用域。

选择行为

- 空复选框
  - 如果某个域未选中任何对象，则会显示“未选中任何对象”并带有空复选框。
- 部分选择
  - 若部分对象被选中，域复选框将显示为部分选中状态。
  - 对象计数将被显示，且仅使用所选对象进行对象匹配。
- 全选
  - 若复选框完全选中，表示该域下的所有对象均纳入匹配范围。
  - 显示所有用户（或适用对象类型）。
- 未配置域
  - 如果未配置任何域，则显示“手动添加域”。

## 前提条件

### 许可覆盖范围详情

- 免费及基础版用户可使用直接对象选择与手动值功能。
- 基于组的对象选择和基于OU的选择功能仅对标准版及以上订阅层级的用户开放。

## 工作流架构

下图展示了对象过滤器的工作流。为清晰起见，实例突出了其在规则管理模块中的实现。

## 使用场景

### 1. 基于组与组织单位的过滤器实现自动化告警定制

应用场景

安全团队及其他关键运营部门常因高告警噪声而困扰——规则普遍适用于所有用户和设备，导致非关键账户产生大量无用信号。

借助对象过滤功能

分析师可将规则分配至特定组织单位或安全组，确保仅监控关键账户与系统。成员资格更新通过Active Directory动态同步，无需人工修改规则。这使各运营团队能聚焦敏感实体，同时减少日常操作产生的误报。

### 2. 跨业务单元简化规则部署

应用场景

拥有分布式Active Directory环境的全球性组织在部署统一规则时面临挑战，因不同区域和业务部门的对象存在差异。

采用对象过滤功能

规则可基于OU用户分组部署，自动提取各区域对应对象集。此机制无需单独配置即可实现区域化监控，降低管理开销，确保各分支机构获得精准本地化检测覆盖。

### 3. 授权管理操作的异常处理

使用场景

常规IT维护任务（例如补丁更新、组策略更新）常与可疑行为模式重叠，从而触发不必要的告警。

借助对象过滤功能

"例外"部分允许团队将可信账户、设备或组织单位排除在规则条件之外。通过抑制良性活动，安全运营中心（SOC）可在不影响对其他敏感变更可见性的前提下，优先处理高可信度告警。

## 限制

- 常规
  - 对象过滤器仅适用于等于和不等于运算符。
  - 对象过滤器基于最新同步的域数据运行。若Active Directory中发生变更但尚未同步，过滤器将依据上次同步状态处理数据。
- 告警和规则
  - 对象选择：每个域每个字段最多可选 25 个对象

另请参阅

本文阐述了基于 Active Directory 的对象过滤机制，涵盖选择方法、行为特性、实施前提及典型应用场景。您还将了解该功能如何有效降低告警噪音、简化部署流程并实现例外情况精准管控。

- 在 Log360 中访问并应用对象过滤功能