创建自定义规则

    最后更新于：

    在本页面

    概述

    本页面阐述构建自定义规则以检测安全事件的流程。您可创建标准规则进行基础过滤，异常规则用于识别单次事件的异常行为，或高级规则处理复杂的多步骤模式。每种规则类型均支持严重性、过滤器、阈值、异常模型及MITRE ATT&CK映射等字段，以增强上下文关联性并提升检测可操作性。

    规则创建

    功能：

    为特定环境构建安全规则的简易而强大的方法。

    使用场景：

    创建任意类型安全规则（标准型、异常型或高级型），支持详细标签标注、MITRE ATT&CK映射及附加上下文（如前提条件和缓解措施）， 实现更优化的规则组织与可操作性洞察。

    如何创建新规则？

    1. 在产品控制台中，点击“安全”选项卡。
      Security tab in dashboard
      图1：仪表板中的“安全”选项卡
    2. 点击右侧的“管理规则”选项。
      Manage rules in security dashboard
      图2：安全仪表板中的管理规则
    3. 您将进入规则完整列表页面。在右侧区域， 您将看到"创建新规则"选项。点击该选项旁的下拉按钮。
      注意：若直接点击"创建新规则"， 系统将直接跳转至标准规则创建页面。
      Manage rules module via the security dashboard
      图3：通过安全仪表板管理规则模块
    4. 下拉菜单将展开显示标准规则、异常规则和高级规则三种创建选项。根据需求选择所需规则类型。
      Manage rules module via the security dashboard

    请继续阅读三种规则类型的创建指南。

    标准规则

    创建标准规则的步骤

    1. 导航至标准规则类型。系统将跳转至规则条件定义字段页面（如下图所示）。如需了解字段详情，请参阅《规则说明》帮助文档。
      Create a standard rule
      图4：创建标准规则
    2. 规则名称为必填项，规则描述为可选项。 点击 描述字段，弹出窗口将开启以便添加说明。
    3. 从严重性级别中选择： 严重、 问题或 注意。该字段默认值为 严重。
    4. 根据规则创建目的选择操作类型。 继续阅读了解 如何创建自定义操作。
      • 仅当规则需针对特定情况运行时， 才可应用过滤器。
      • 系统将根据所选操作及其日志格式显示字段列表。 若字段列表超过5项，将显示搜索选项以便定位目标字段。
      • 若字段列表超过5项，将显示搜索选项以便定位目标字段。
      • 若需在达到特定阈值后触发规则，可设置阈值条件。
    5. 规则消息可用于在触发规则的检测报表中 显示格式化提示信息。
      • 消息中的字段将通过宏进行定义。
    6. 规则洞察：MITRE ATT&CK映射等功能为可选项， 同样可针对单条规则进行配置。
    7. 填写必填字段后，点击创建。
    8. 操作成功完成后，将显示如下弹窗。
      Create a standard rule

    异常规则

    创建异常规则的步骤

    1. 导航至异常规则类型。系统将跳转至规则定义页面， 该页面包含如下图所示的规则条件字段。 更多字段说明请参阅《规则理解》帮助文档。
      Create an anomaly rule
      图5：创建异常规则
    2. 规则名称为必填项，规则描述为可选项。点击描述栏， 将弹出编辑框供您添加说明。
    3. 从严重性级别中选择： 严重、问题或注意。该字段默认值为 严重。
    4. 根据规则创建目的选择操作类型。 继续阅读了解如何创建自定义操作。
      • 仅当规则需针对特定场景运行时， 方可应用过滤器。
      • 系统将根据所选操作及其日志格式显示字段列表。 若字段列表超过5项，将显示搜索选项以便定位目标字段。
      • 若字段列表超过5项，将显示搜索选项以便定位目标字段。
      • 若需在达到特定阈值后触发规则，可设置阈值。
    5. 选择异常模型基础以定义如何检测偏离正常行为的情况。最多可选5个模型。
    6. 规则消息可用于在触发规则的检测报表中显示格式化提示。消息字段将通过宏进行定义。
    7. 规则洞察：MITRE ATT&CK映射等功能为可选项， 同样可针对单条规则进行配置。
    8. 填写必填字段后，点击创建。
    9. 操作成功完成后，将显示如下弹窗。
      Create an anomaly rule

    高级规则

    创建高级规则的步骤

    1. 导航至高级规则类型。系统将跳转至规则条件定义页面， 该页面包含如下图所示的各项字段。 更多字段说明请参阅规则理解页面。
      Create an advanced rule
      图6：创建高级规则
    2. 规则名称为必填项，规则描述为可选项。点击描述栏， 即可弹出编辑框添加说明。
    3. 从严重性级别中选择： 严重、问题或注意。该字段默认值为 严重。
    4. 规则条件

      使用交互式规则构建器编辑

      • 操作选择与标准规则创建相同， 但可根据现有关联规则 选择多个操作。 阅读后续内容了解如何创建自定义操作。
      • 过滤器和 阈值设置与标准规则创建相同。
      • 操作关联：当选择多个操作时， 可将这些操作相互关联， 以便关联涉及这些操作的事件， 并监控可疑活动。

      使用查询模式编辑

      • 此模式专用于高级规则构建，您可通过查询语法和查询语法 规则配置条件与参数。更多详情请参阅查询语法指南。
    5. 若需安排规则执行计划，请在此处定义执行配置。
    6. 规则消息也可用于在触发规则的检测报表中提供格式化消息。
      • 消息中的字段将通过宏进行定义。
    7. 规则洞察：MITRE ATT&CK映射及其他功能为可选项， 同样可针对特定规则进行配置。
    8. 填写必填字段后，点击创建。
    9. 操作成功完成后，将显示如下弹窗。
      Create an advanced rule
    什么是高计算规则？ 若任何规则应用了阈值，由于其计算密集度高，将进行许可计算，并标记为高计算规则。该指示标记将在规则列表中显示，并在创建该规则时可见。
    Create an advanced rule

    如何在高级规则中创建自定义操作？

    1. 在规则配置中选择操作时，可根据需求创建自定义操作。 点击下图标注的 "创建自定义操作"按钮。 （下图标注位置）
      Create custom action
      图7：创建自定义操作
    2. 需定义的必填字段如下所示：
      Create custom action
    3. 通过设置字段值进行配置：
      • 操作名称和日志类型为必填字段。
      • 描述为可选字段。点击该字段可查看 描述框。
      • 操作消息用于显示所用操作的格式化提示信息。
      • 宏可添加至操作消息 格式中。
      • 操作条件将定义触发该特定操作必须满足的条件。
      • 宏等字段在下拉选项中的显示形式 会根据所选日志类型略有差异。
    4. 输入所需字段值后，点击创建。
    5. 操作成功完成后，将显示如下弹窗。
      Create custom action

    另请参阅

    本文档阐述了创建新规则、配置标准规则/异常规则/高级规则的方法，以及通过自定义操作实现更灵活监控的设置流程。