Active Directory对象过滤用于规则精细调整

    最后更新于：

    本页内容

    概述

    基于对象过滤器的Active Directory规则精细化调整，可通过针对特定AD对象应用检测规则来优化配置，从而降低误报率、缓解告警疲劳并提升规则准确性。 通过直观的对象过滤界面，该解决方案支持您在图形用户界面（GUI）中定义用户、组或组织单位（OU）。此机制确保监控能自动适应目录变更，简化规则部署流程，并提升告警相关性。

    通过重新设计的检测机制，对象过滤器可帮助安全运营中心团队针对特定用户、组或OU精细化调整检测策略，从而降低误报率并确保告警始终具备可操作性，有效缓解告警疲劳问题。

    注：当前对象过滤功能仅适用于预定义的Windows和Active Directory规则。

    功能范围

    对象过滤功能可通过以下模块访问：

    对象选择与过滤

    对象选择方法

    1. 直接对象选择

    • 您可以直接使用Active Directory同步数据选择对象。
    • 除非再次修改，否则所选对象的选定状态保持不变。

    2. 基于组或组织单位（OU）的对象选择

    • 您可指定特定组织单位或组，代替直接选择对象。
    • OU 或 群組 內的成員物件會根據 Active Directory 同步資料動態指派。

    3. 手动输入值

    • 除域中的值选择外，您还可定义手动值。
    • 在手动值中输入的对象名称将与所有域中的条件进行匹配

    字段特定对象筛选器

    字段 可用的对象过滤器选项
    用户 用户、基于组的用户、基于OU的用户
    计算机
    • 计算机，或
    • 域控制器、成员服务器、工作站
    群組 基于组、基于OU的组
    OU OU

    Active Directory 对象筛选器行为

    1. 筛选器中的域对象同步

    对象同步行为取决于对象筛选器中选定的选项卡：

    • 直接对象选择
      • 仅对所选对象类型执行同步。
    • 基于OU的对象选择
      • 同步包括组织单位及其关联的对象类型。
      • 例如，若基于OU选择用户，则相应同步OU和用户对象。
    • 基于组的对象选择
      • 为准确解析组成员关系，必须执行成员资格同步。
      • 根据框架设计，这涉及同步用户、计算机、OU 和组对象作为完成成员资格解析过程的必备组件。

    2. 筛选器中的域选择

    对象筛选器中的域行为取决于功能使用上下文：

    • 在告警配置文件中
      • 对象过滤器中列出的域基于告警配置文件中选择的域。
    • 在规则中
      • 对象过滤器中列出了所有可用域。

    选择行为

    • 空复选框
      • 如果某个域未选中任何对象，则会显示“未选中任何对象”并带有空复选框。
    • 部分选择
      • 若部分对象被选中，域复选框将显示为部分选中状态。
      • 对象计数将被显示，且仅使用所选对象进行对象匹配。
    • 全选
      • 若复选框完全选中，表示该域下的所有对象均纳入匹配范围。
      • 显示所有用户（或适用对象类型）。
    • 未配置域
      • 如果未配置任何域，则显示“手动添加域”。

    前提条件

    许可覆盖范围详情

    • 免费及基础版用户可使用直接对象选择与手动值功能。
    • 基于组的对象选择和基于OU的选择功能仅对标准版及以上订阅层级的用户开放。

    工作流架构

    下图展示了对象过滤器的工作流。为清晰起见，实例突出了其在规则管理模块中的实现。

    Object filtering for Active Directory for rule fine tuning

    使用场景

    1. 基于组与组织单位的过滤器实现自动化告警定制

    应用场景

    安全团队及其他关键运营部门常因高告警噪声而困扰——规则普遍适用于所有用户和设备，导致非关键账户产生大量无用信号。

    借助对象过滤功能

    分析师可将规则分配至特定组织单位或安全组，确保仅监控关键账户与系统。成员资格更新通过Active Directory动态同步，无需人工修改规则。这使各运营团队能聚焦敏感实体，同时减少日常操作产生的误报。

    2. 跨业务单元简化规则部署

    应用场景

    拥有分布式Active Directory环境的全球性组织在部署统一规则时面临挑战，因不同区域和业务部门的对象存在差异。

    采用对象过滤功能

    规则可基于OU用户分组部署，自动提取各区域对应对象集。此机制无需单独配置即可实现区域化监控，降低管理开销，确保各分支机构获得精准本地化检测覆盖。

    3. 授权管理操作的异常处理

    使用场景

    常规IT维护任务（例如补丁更新、组策略更新）常与可疑行为模式重叠，从而触发不必要的告警。

    借助对象过滤功能

    "例外"部分允许团队将可信账户、设备或组织单位排除在规则条件之外。通过抑制良性活动，安全运营中心（SOC）可在不影响对其他敏感变更可见性的前提下，优先处理高可信度告警。

    限制

    • 常规
      • 对象过滤器仅适用于等于和不等于运算符。
      • 对象过滤器基于最新同步的域数据运行。若Active Directory中发生变更但尚未同步，过滤器将依据上次同步状态处理数据。
    • 告警和规则
      • 对象选择：每个域每个字段最多可选 25 个对象

    另请参阅

    本文阐述了基于 Active Directory 的对象过滤机制，涵盖选择方法、行为特性、实施前提及典型应用场景。您还将了解该功能如何有效降低告警噪音、简化部署流程并实现例外情况精准管控。