管理规则

    最后更新于：

    在本页面

    概述

    本页面说明如何使用"管理规则"模块通过集中视图管理所有检测规则。涵盖启用、禁用、克隆、编辑、删除、过滤以及导入/导出规则等操作。 每个规则条目均提供详细信息， 包括严重性等级、MITRE ATT&CK映射、标签、执行模式、告警配置文件及 检测历史记录。规则调优、前提条件和缓解步骤等附加功能 可协助管理员优化检测效果、提升性能，并使规则与 安全框架保持一致。

    访问管理规则页面

    1. 通过仪表板导航至安全选项卡，点击 如下图所示的 管理规则。
      Manage rules in security dashboard
      图1：安全仪表板中的规则管理界面
    2. 您将进入规则管理页面，该页面显示完整的规则列表（如下图所示）。此页面是创建、编辑、启用、禁用检测规则及其告警的核心枢纽，通过搜索、筛选和批量操作功能实现规则管理的自动化。
      Manage rules module via the security dashboard
      图2：通过安全仪表板管理规则模块

    规则管理表中的字段

    A. 操作列

    操作列作为媒介，供您根据需求对规则执行必要操作。 以下是"管理规则"模块中可用的规则操作：

    • 启用/禁用规则
    • 克隆规则
    • 编辑规则
    • 删除规则
    Available actions in the manage rules module
    图3：规则管理模块中的可用操作

    启用/禁用规则

    启用规则

    1. 点击操作列中的禁用图标Disable 即可启用规则。
    2. 执行此操作后，图标将显示规则已启用Enable ， 下方弹出提示将短暂显示。
      3. Available actions in the manage rules module

    禁用规则

    1. 点击操作列下的启用图标Enable 可禁用该规则。
    2. 若该规则关联了告警配置文件，将弹出确认操作窗口。 点击"是"继续。
      Available actions in the manage rules module
    3. 执行此操作后，图标将显示规则已禁用 Disable 并短暂弹出以下提示信息。
      4. Available actions in the manage rules module

    批量启用/禁用规则

    1. 点击第一列中的空白复选框以选中相应规则。
    2. 点击规则列表上方功能区中的启用/禁用图标。
      Bulk actions in the manage rules module
      图4：规则管理模块中的批量操作
    3. 操作成功完成后，将显示以下弹出窗口。

    启用状态：

    Bulk actions in the manage rules module

    禁用时：

    Bulk actions in the manage rules module

    克隆规则

    1. 点击"操作"列中的克隆图标Copy ， 即可克隆对应规则。
    2. 根据规则类型（标准、异常或 高级），系统将跳转至该规则的 特定配置页面。
    3. 在字段值中进行必要修改以定制克隆规则， 点击创建。
    4. 操作成功后将显示如下弹窗。
      5. Bulk actions in the manage rules module

    编辑规则

    1. 点击"操作"列中的编辑图标Edit ， 即可编辑对应规则。
    2. 根据规则类型（标准、异常或 高级），系统将跳转至该规则的 特定配置页面。
    3. 在字段值中进行必要编辑后，点击更新。
    4. 规则将在规则列表中即时更新。

    删除规则

    1. 点击第一列的空复选框以选中相应规则。
    2. 随后点击规则列表上方功能区中的删除图标Delete 。
    3. 此时将弹出操作确认窗口，点击"删除"。
      4. Bulk actions in the manage rules module
      Deleting rule in the manage rules module
      图5：在管理规则模块中删除规则
    4. 操作成功完成后，将显示下方弹窗。
      5. Deleting rule in the manage rules module

    过滤规则

    1. 点击规则列表上方功能区中的筛选图标。
      Filtering rules in the manage rules module
      图6：规则管理模块中的规则筛选功能
    2. 将显示以下筛选选项。
      Filtering rules in the manage rules module
    3. 可同时选择多个筛选器。单击筛选器即可选中 该项。若需取消选中，请再次单击 该筛选器。点击任何 筛选选项时，规则将即时完成筛选。
    4. 点击“清除筛选”选项可撤销对规则的所有/任意筛选操作。

    其他规则管理配置

    1. 点击第一列中的空复选框，即可选中 您希望配置的相应规则。
    2. 在规则列表上方的功能区中，提供进一步管理规则的选项。
      Managing rules in the manage rules module
      图7：规则管理模块中的规则管理操作
    3. 点击该选项可展开“管理”选项卡的配置内容。
      Managing rules in the manage rules module
    4. 配置：
      • 导入：通过上传包含规则的文件导入所需规则。
      • 导出：即时下载所选规则及配置详情。此选项仅适用于自定义创建的规则。
      • 启用告警配置文件：点击此项为所选规则启用告警配置文件， 配置将即时更新并显示 下方弹窗。
        Managing rules in the manage rules module
      • 禁用告警配置文件：点击此项可禁用所选规则的告警配置文件， 配置将即时更新 并显示下方弹窗。
        Managing rules in the manage rules module
      • 更新严重性：点击/悬停查看三个严重性级别， 选择要应用的级别。
        Managing rules in the manage rules module

      5. 配置将即时更新， 并显示如下弹窗。

      Managing rules in the manage rules module

    B. 规则名称列

    规则名称列列出了迄今为止配置的所有规则名称。

    Rule names in the manage rules module
    图8：管理规则模块中的规则名称

    点击任意规则名称将弹出规则摘要框。该框包含4个子选项卡：

    • 规则详情
    • 前提条件
    • 缓解措施
    • 执行详情

    规则详情

    提供规则概要及相关详细信息，并支持为该规则添加 例外情况。

    Rule details in the manage rules module
    图9：管理规则模块中的规则详情
    1. 规则名称：显示您为该规则分配的唯一名称。
    2. 规则类型：显示该规则所属的类别—— 标准、异常或高级。
    3. 规则描述：显示您为该规则添加的描述（如有）。
    4. 规则状态：显示规则当前处于 活动状态或非活动状态。
    5. 创建者：显示创建此规则的用户（通过其在本网络中的角色标识）。
    6. 严重性：显示规则配置时设定的严重性等级—— 严重、故障或 注意。
    7. 日志格式：显示与规则关联的日志类型。
    8. 执行类型：显示规则设置的执行配置模式——持续执行；每5分钟 /10分钟 /30分钟 /1小时 定时执行；自定义模式。
    9. 标签：根据行业或类型对规则进行分类。
    10. MITRE ATT&CK：将规则映射至相关的MITRE战术与 技术。
    11. 判定条件：以查询格式展示规则条件。
      • 例外： 例外条款定义检测引擎排除特定案例的判定标准。 若规则例外条款的设定条件匹配，则不会生成检测记录。 点击"添加例外"按钮时， "添加规则例外"框将滑出展开。
        • 点击添加例外按钮时， 添加 规则例外框将滑动展开。
          • Rule details in the manage rules module
        • 您可在此配置希望从检测 和报表中排除的例外情况。
        • 点击"保存"按钮即可保存规则例外。
        • 操作成功完成后，将显示以下弹窗。
          • Rule details in the manage rules module
        • 若需重置并重新配置该例外，可点击 清除例外，配置将被重置。
        • 若需中止操作，请点击“取消”。

    前提条件

    此子选项卡提供界面供您检查并确保规则所需依赖项已满足，以实现正确检测。

    Rule prerequisites in the manage rules module
    图10：规则管理模块中的规则先决条件

    缓解措施

    此子选项卡提供操作界面，供您执行推荐措施以降低风险并 防范未来威胁。预定义规则的缓解措施已预先添加，而自定义规则 的缓解措施需由用户手动添加。

    案例1：规则配置中已存在缓解步骤。

    • 缓解措施ID：列出与检测到的规则或威胁相关的MITRE ATT&CK缓解技术。
    • 描述：提供可操作的指导，说明如何减轻或降低威胁的影响，例如配置更改、安全策略或最佳实践。
    • 误报率：指示特定检测规则产生误报的可能性。
      • Rule mitigation in the manage rules module
      图11：规则管理模块中的规则缓解

    情况2：规则配置中不存在缓解步骤。

    在这种情况下，默认该特定规则无需采取任何缓解措施。

    执行详情

    用于根据内存使用情况识别计算密集型连续规则。同时显示当前收集的日志中哪些属于该规则的处理对象。

    Rule execution details in the manage rules module
    图12：规则管理模块中的规则执行详情

    执行模式：

    1. 执行模式：显示规则设置的执行配置模式——持续执行；每5分钟、10分钟、30分钟、1小时 定时执行；自定义模式。
    2. 诊断信息：提供规则产生的资源使用情况和活动分析， 帮助您验证规则执行过程中的表现。
      • 操作名称：显示与该特定检测关联的事件/操作。例如：登录成功。
      • 内存利用率：近实时跟踪操作执行期间的总内存消耗。
      • 命中次数：近实时跟踪该操作的总命中次数。
    3. 执行历史记录：显示规则历史执行时间线， 包含每次运行记录的事件计数和内存消耗。 便于您回顾规则随时间的性能表现并排查异常。
    4. 请参阅规则理解页面，了解 连续模式与计划模式 执行模式的差异。

    规则调优

    规则调优功能可帮助管理员通过优化查询执行来完善检测规则。该功能分析规则处理方式，并提供可操作的性能改进建议。应用这些建议可降低执行负载、提升查询速度并消除冗余噪声。规则调优可协助管理员实现以下优化：

    • 通过减少不必要的执行开销来提升规则性能。
    • 防止查询运行时超时和延迟。
    • 通过排除已知或重复模式，最大限度减少误报。
    • 随着日志量增长，帮助扩展检测效率。
    注意：调优建议基于查询响应分析生成。应用后可能影响结果一致性，实施前请仔细核查。
    1. 点击规则摘要框右上角的图标，可查看规则调优配置框。
    2. 规则调整面板随即展开，显示：
      • 规则条件与操作。
      • 调优见解与建议。
      • 规则执行预览及图形化输出。

    可用操作：

    1. 调优洞察
      • 提供基于操作的建议，例如：
        • 添加分组字段以减少查询执行次数。
        • 使用 Limit 运算符控制基数。
        • 排除特定用户名、设备或字段以降低负载。
      • 您可以：
        • 应用单项调优方案。
        • 使用“应用所有调优”进行批量优化。
    2. 规则预览
      • 生成示例输出图，展示查询执行趋势。
      • 显示执行时间和数据结果（例如用户名、设备）。
      • 帮助验证调优是否在不降低准确性的前提下提升了效率。
    3. 处理查询超时
      • 若计划任务因查询超时失败，可执行以下操作：
        • 调整查询超时值。
        • 应用推荐的调优方案。
        • 手动配置例外规则以过滤已知模式。

    示例用例：暴力破解检测

    以暴力破解规则为例，该规则可在特定时间段内检测失败与成功的 Windows 登录尝试。

    • 未经调优时，该规则可能返回大量数据集导致执行延迟。
    • 通过调优，您可实现：
      • 按用户名/设备添加分组。
      • 限制分析结果数量。
      • 排除重复用户名或设备以降低执行负载。

    结果：查询响应更快、噪声减少、暴力破解尝试检测效率更高。

    规则调优最佳实践

    • 应用调整前务必预览规则。
    • 避免过度过滤，以免屏蔽真实告警。
    • 对重复模式采用手动例外处理，而非禁用规则。
    • 随着日志量和攻击模式的变化，定期重新审视调整建议。

    C. 严重性

    显示规则设置的严重性级别——危急、故障或注意。

    D. MITRE ATT&CK映射

    与规则关联的战术与技术分类，遵循MITRE ATT&CK框架。

    E. 标签

    附加上下文标签，如威胁行为者、软件、行业领域等规则关联信息。

    F. 执行模式与状态

    显示每条规则设置的执行配置模式。

    G. 告警配置文件

    • 提供创建告警配置文件的选项，用于管理此处列出的所有规则。
    • 点击"创建告警配置文件"选项后， 对应规则的告警配置文件将立即生成，并弹出如下窗口：
      Rule execution details in the manage rules module
    • 点击上述弹窗中的"点击此处"选项， 将跳转至"编辑告警配置文件"模块。阅读 告警配置文件 帮助页 帮助页面以了解如何编辑和分配告警 配置文件。

    H. 创建者

    显示创建此规则的用户（通过其在本网络中的角色进行标识）。

    I. 规则类型

    显示规则类别——标准、异常或高级。

    J. 安装时间

    显示规则从规则库安装的时间。

    K. 最后修改时间

    显示规则最近一次修改的时间。

    L. 检测记录

    点击“查看检测”链接可查看该规则触发的所有检测记录。系统将显示该规则的周期性检测图表，如下所示。

    Rule detection details in the manage rules module
    图13：规则管理模块中的规则检测详情

    检测详情包含以下信息：

    • 检测图：
      • 通过可视化图表展示触发相应规则的事件计数随时间变化趋势，便于快速发现异常。点击图表旁的下拉箭头，即可选择不同类型的图表进行查看。
    • 事件日志表：显示触发规则的每个检测事件详情， 包括结束时间、事件ID、日志源、时间、用户名、域、消息等。 点击数据表右上角图标可 选择/取消选择并 添加需以列形式显示的字段， 可从众多选项中选择字段。
      Rule detection details columns in the manage rules module
      图14：规则管理模块中的规则检测详情列

    检测模块可用操作：

    • 点击按钮可选择导出格式，支持PDF或CSV文件格式。
    • 点击报表导出历史记录图标Enable ，可查看该特定报表所有历史数据导出记录。
      Rule detection details columns in the manage rules module
    • 您还可通过点击按钮自定义检测时间范围
      Rule detection details columns in the manage rules module

    您可执行：

    • 选择所需时间范围的起始日期和结束日期。
    • 点击符合需求的预设时间范围选项。
    • 点击"自定义范围"，在下方输入框中输入数字 该数字代表您希望查看的过去天数数据。
    • 点击应用。

    计划报表

    注意：您可直接通过“管理规则”模块访问检测报表。阅读《计划检测报表》以了解更多详情。
    1. 点击下图所示的“计划报表”选项。
      Rule scheduled reports in the manage rules module
      图15：规则管理模块中的定时报表设置
    2. 系统将显示该规则报表（如有）的可用排程选项。
    3. 您可以通过以下步骤为特定规则创建计划：
      • 点击下图所示的“创建计划”按钮。
        Create scheduled reports in the manage rules module
        图16：在规则管理模块中创建定时报表
      • 点击后弹出窗口将显示创建 计划所需的字段。
        Create scheduled reports in the manage rules module
      • 填写必要字段：
        • 计划详情
          • 计划名称：为计划分配唯一名称。
          • 计划频率：定义计划 的运行周期（每小时、每日、每周或每月）。
          • 导出时间范围：指定需包含的数据时间区间（例如过去24小时、过去7天或自定义）。
          • 报表格式：选择导出报表的首选格式（PDF、CSV、XLS）。
        • 通知
          • 选择模板：选用预定义报表模板或自定义模板。
      • 配置完成后点击保存。成功保存后， 弹出框将显示更新后的计划， 并附带确认信息。
        Create scheduled reports in the manage rules module
      • 您也可通过点击弹出框中的编辑图标（Edit） 编辑计划。 相同字段将显示供编辑。
      • 编辑后点击更新。操作成功后， 计划将在弹出框中更新， 并显示确认信息。
        Create scheduled reports in the manage rules module

    另请参阅

    本文档阐述了如何浏览管理规则页面、执行规则关键操作、 查看详细规则摘要、优化性能以及生成检测报表以进行深入 分析。