访问和应用对象过滤

概述

对象过滤功能支持通过直观的图形用户界面（GUI）优化规则应用，可针对Active Directory中的特定用户、组或组织单位（OU）实施规则，从而提升监控效果。此功能确保监控与异常处理精准定位目标对象，避免冗余干扰。

注意：对象过滤功能仅适用于预定义的Windows和Active Directory规则。

实施对象过滤

对象过滤可在产品不同环节应用以优化规则和告警配置：通过规则库在规则安装时设置过滤器；在规则管理中配置对象和例外规则进行调整；启用规则时应用过滤器；在告警配置中进行精细化监控设置。

规则库

该解决方案允许您在从规则库安装规则时即配置对象过滤器。具体操作如下：

1. 访问解决方案的Web控制台，导航至"安全"选项卡以进入安全分析仪表板，然后点击右上角的"管理规则"。

   

2. 在管理规则模块中，点击规则库。

   

3. 对象筛选器同时适用于Windows规则和Active Directory规则。若需针对后者应用筛选器，请点击左侧窗格中的Active Directory类别。

   

4. 点击所需规则名称。您可使用搜索功能快速定位规则。

   

5. 点击规则将弹出规则摘要框及安装按钮。点击安装。

   

6. 点击安装后，安装规则框将滑动展开。点击下方高亮显示的添加图标。

   

   注意：您可通过点击"安装规则"面板中的"跳过并安装"选项跳过以下步骤。

7. 系统将跳转至"组"子标签页，该页面同时显示对象筛选功能，以便您在安装前筛选并选择希望纳入此规则的用户组。

   

8. 同样，基于组织单位的“组”子选项卡也包含用户筛选功能。

   

9. 选定所需组后，可点击下方“查看”选项查看所选内容。

   

10. 所选用户组列表将显示出来。

    

11. 完成选择后，在选择列表中点击“确定”，然后在“选择组”窗格中点击“添加”。“安装规则”窗格将显示带绿色勾选标记的“需要配置”部分。

    

12. 点击激活按钮。操作成功完成后，将出现如下弹窗。

    

了解有关 规则库，请参阅帮助文档。

规则管理

该解决方案允许您通过规则管理模块为现有规则配置或更新对象过滤器。这些过滤器可应用于规则摘要中的"对象"和"例外"两个部分。具体操作步骤如下：

1. 在您的账户中，导航至“安全”选项卡访问安全分析仪表板，点击右上角的“管理规则”。

   

2. 系统将跳转至规则管理模块。

   

3. 点击所需规则名称。您可使用搜索功能快速定位规则。

   

4. 点击规则名称后，规则摘要框将滑动展开。在规则摘要的规则详情子标签页中，以下部分可使用对象筛选功能：
   • 对象
   • 例外
   • 启用规则

A. 对象部分

1. 导航至下图标注的"条件"部分，点击对象栏中的编辑图标 。

   

   注意

   • 仅当您在规则库安装规则时已选择用户组，编辑图标才会显示。
   • 若您选择"跳过并安装规则"，则在上述"条件"部分的"对象"字段中将显示"添加对象"选项。点击该选项进入对象过滤器，并按以下步骤选择用户组：

     

2. "添加对象"面板将滑出展开。点击如下图所示的添加图标。

   

3. 选择组面板滑出展开。系统将跳转至显示组子标签页，并启用对象筛选功能，以便您筛选并选择希望纳入此规则的用户组。

   

4. 同样，基于OU的组子选项卡也包含用户选择过滤器。

   

5. 选定目标组后，可点击下方高亮显示的“查看”选项查看筛选结果。

   

6. 所选用户组列表将显示出来。

   

7. 完成选择后，在选择列表中点击“确定”，然后在“选择组”窗格中点击“添加”。在“添加对象”窗格中点击“保存”按钮。

   

8. 操作成功完成后，将短暂弹出成功提示框，所选项变更将即时更新并显示在对象区域。

   

B. 例外部分

1. 导航至下图标注的"条件"部分，点击下图标注的"添加例外"选项。

   

   注意

   • 规则例外仅可在安装完成后配置。
   • 若已存在相关配置，您将看到编辑选项以配置现有例外，而非创建新例外。

     

   • 点击上方高亮显示的编辑图标，并按以下步骤操作：
2. 添加规则例外窗格将滑动展开。请从可用下拉菜单中选择所需变量进行必要配置，然后点击下方高亮显示的添加图标。

   此操作可筛选设备并选择需配置例外规则的设备。

   

3. "选择计算机"面板滑出展开。设备名称将与对象筛选功能同步显示，以便您筛选并选择需归入本规则的设备组。

   

4. 选定目标设备后，可点击下方高亮显示的“查看”选项查看所选内容。

   

5. 系统将显示所选计算机列表。

   

6. 完成选择后，在选择列表中点击“确定”，然后在“选择计算机”窗格中点击“添加”。在“添加规则例外”窗格中点击下图所示的“保存”按钮。若需重置例外配置并重新设置，请点击“清除例外”。

   

7. 操作成功完成后，将短暂弹出"规则例外保存成功"提示框，所选变更将即时更新并显示在"例外"区域。

   

C. 规则启用

激活规则时，该规则对应的对象过滤器将自动展开。

1. 点击操作列中当前禁用的图标 以启用该规则。

   

2. 点击禁用图标后，对象过滤器窗格将滑动展开。

   

3. 选择目标用户/组后点击"激活"按钮。

   

4. 操作成功完成后，将显示以下弹出窗口。

   

告警

该解决方案在创建或编辑告警配置文件时同样支持对象筛选器，可通过用户、组或组织单位选择来优化基于Active Directory的筛选条件。操作步骤如下：

注意：Active Directory 对象过滤器仅适用于 Active Directory 日志类型的规则和条件。

1. 在产品控制台中，导航至“告警”选项卡并点击“添加告警配置文件”。

   

2. 此时将显示 “添加告警配置文件”模块。

   

3. 为告警提供名称。在告警条件构建器的 规则子选项卡中，选择Active Directory作为日志类型以添加Active Directory特定条件。点击选择按钮。

   

4. 在"选择域"下拉菜单中选择域。勾选"过滤"复选框，根据需求配置过滤规则。点击对象过滤器的添加按钮，选择需归入该组的用户。

   

5. 用户选择面板将滑出展开。用户名将与对象过滤功能同步显示，以便您筛选并选择希望归入此告警配置的用户群体。

   

6. 同样地，基于组的用户子选项卡也包含基于用户组进行用户选择的筛选功能。

   

7. 基于组织单位的用户子选项卡同样包含用户筛选功能，用户按所属组织单位分类列出。

   

8. 选定目标用户后，可通过点击下方高亮显示的“查看”选项查看所选内容。

   

9. 系统将显示所选用户/组的列表。

   

10. 完成选择后，请在选择列表中点击“确定”，然后在“选择用户”窗格中点击“添加”。

    

11. 操作成功完成后，所选项变更将即时更新。

    

注意：在现有告警配置文件中，可通过点击编辑图标 并执行上述步骤启用对象筛选器。有关告警配置文件创建与管理的详细信息，请参阅《告警帮助文档》。

另请参阅

本文阐述了在规则安装、规则管理及告警配置过程中使用对象过滤器的方法。您还了解了如何将其应用于对象和例外部分以及告警配置文件，以提升监控准确性。

• Active Directory 对象过滤器概述