跳至主内容

获取自定义规则列表

此方法用于获取指定公司的自定义规则列表。

参数

参数

类型

可选

描述

页码

数字

结果页的页码。默认值为1。

每页条数

数字

每页显示的条目数量。上限为每页100条。默认值:每页30条

公司ID

字符串

要检索自定义规则列表的公司ID。默认值为生成API密钥的用户关联的公司ID。

类型

数字

要返回的规则类型。可能值:1 - 检测,2 - 排除

返回值

此方法返回包含自定义规则条目信息的数组。返回的对象包含:

  • 页码 - 当前显示的页码

  • 总页数 - 可用页面的总数

  • 每页条数 - 每页返回的条目总数

  • 条目 - 自定义规则条目列表。列表中的每个条目包含以下字段:

    • ID

    • 所有者

    • 名称

    • 公司ID

    • 状态

    • 标签

    • 设置 - 规则设置。以下是可用设置项:

      • 状态

      • 严重性 (若为检测规则)

      • 目标 (如进程、连接、文件)

      • 条件列表 ,对象数组。每个对象包含一个 字段 、一个 关系 和一个 .

        注意

        有关 条件列表 对象可能值的更多信息,请参阅 检测与排除 .

检测与排除

检测(类型=1)

排除(类型=2)

显示名称

目标

字段

技术

关系

验证器

告警名称

不适用

检测

两者

名称

进程

进程.名称

EDR

是|包含|任意

字符串

路径

进程

进程.路径

EDR

是|包含|任意

字符串

完整路径名

进程

进程.完整路径名

终端检测与响应

是|包含|任意

字符串

命令行

进程

进程.命令行

终端检测与响应

是|包含|任意

字符串

父进程名称

进程

进程.父进程.名称

终端检测与响应

是|包含|任意

字符串

父进程路径

进程

进程.父进程.路径

终端检测与响应

是|包含|任意

字符串

父进程完整路径名称

进程

进程.父级.完整路径名

终端检测与响应

是 |包含| 任意

字符串

父级命令行

进程

进程.父级.命令行

终端检测与响应

是 |包含| 任意

字符串

文件.名称

进程

进程.用户

终端检测与响应

是 |包含| 任意

字符串

文件.路径

进程

进程.MD5

终端检测与响应

是 |包含| 任意

字符串

SHA256

进程

进程.SHA2

EDR

是 | 包含 | 任意

字符串

名称

文件

文件.名称

两者

是 | 包含 | 任意

字符串

路径

文件

文件.路径

两者

是 | 包含 | 任意

字符串

完整路径名

文件

文件.完整路径名

两者

是 | 包含 | 任意

字符串

创建进程名称

文件

文件.创建者.名称

EDR

是 |包含| 任意

字符串

创建进程路径

文件

文件.创建者.路径

EDR

是 |包含| 任意

字符串

创建进程完整路径名

文件

文件.创建者.完整路径名

EDR

是 |包含| 任意

字符串

创建进程命令行

文件

文件.创建者.命令行

终端检测与响应

是 | 包含 | 任意

字符串

操作

文件

文件.操作

备注

该字段必须包含以下精确值: 创建 , 读取 , 写入 , 移动 , 重命名 , 复制 .

终端检测与响应

是 | 任意

字符串

MD5

文件

文件.MD5

XDR

是 | 包含 | 任意

字符串

SHA256

文件

文件.SHA256

XDR

是 | 包含 | 任意

字符串

URL

文件

文件.URL

XDR

是 | 包含 | 任意

字符串

创建进程用户

文件

文件.创建者.用户

EDR

是 | 包含 | 任意

字符串

源IP

连接

连接.源IP

两者

是 |包含| 任意

有效IP

目标IP

连接

连接.目标IP

两者

是 |包含| 任意

有效IP

源端口

连接

连接.源端口

终端检测与响应

是 |包含| 任意

0至65,535之间的整数

目标端口

连接

连接.目标端口

终端检测与响应

是 |包含| 任意

0至65,535之间的整数

创建进程名称

连接

连接.进程.名称

终端检测与响应

是|包含|任意

字符串

创建进程路径

连接

连接.进程.路径

终端检测与响应

是|包含|任意

字符串

创建进程完整路径名称

连接

连接.进程.完整路径名

终端检测与响应

是|包含|任意

字符串

创建进程命令行

连接

连接.进程.命令行

终端检测与响应

是|包含|任意

字符串

创建进程用户

连接

连接.进程.用户

EDR

是 |包含| 任意

字符串

URL

连接

连接.URL

EDR

是 | 包含 | 任意

字符串

HTTP用户

连接

连接.HTTP用户

EDR

是 | 包含 | 任意

字符串

HTTP下载文件

连接

连接.HTTP下载文件

终端检测与响应

是 | 包含 | 任意

字符串

HTTP上传文件

连接

Connection.HTTPUploadedFile

终端检测与响应

是 | 包含 | 任意

字符串

FTP用户

连接

Connection.FTPUser

终端检测与响应

是 | 包含 | 任意

字符串

SMB域

连接

Connection.SMBDomain

终端检测与响应

是 | 包含 | 任意

字符串

SMB共享路径

连接

连接.SMB共享路径

终端检测与响应

是 | 包含 | 任意

字符串

SMB用户

连接

连接.SMB用户

终端检测与响应

是 | 包含 | 任意

字符串

SSH用户

连接

连接.SSH用户

终端检测与响应

是 | 包含 | 任意

字符串

WMI执行查询

连接

连接.WMI执行查询

终端检测与响应

是 | 包含 | 任意

字符串

Telnet用户

连接

连接.Telnet用户

EDR

是 | 包含 | 任意

字符串

文件远程操作

连接

连接.文件远程操作

注意

此字段必须包含以下确切值: 创建 , 远程删除 , 读取 , 写入 , 移动 .

EDR

是 | 任意

字符串

文件远程路径

连接

连接.文件远程路径

EDR

是 | 包含 | 任意

字符串

文件名

连接

连接.文件.名称

XDR

是 | 包含 | 任意

字符串

邮件主题

连接

连接.邮件.主题

XDR

是 | 包含 | 任意

字符串

应用程序名称

连接

连接.应用程序.名称

XDR

是 | 包含 | 任意

字符串

密钥保管库名称

连接

连接.密钥保管库.名称

XDR

是 | 包含 | 任意

字符串

角色名称

连接

连接.角色.名称

XDR

是 | 包含 | 任意

字符串

策略名称

连接

连接.策略.名称

XDR

是 | 包含 | 任意

字符串

共享链接名称

连接

连接.共享链接.名称

XDR

是 | 包含 | 任意

字符串

流程名称

连接

连接.流程.名称

XDR

是 | 包含 | 任意

字符串

URL名称

连接

连接.URL.名称

XDR

是 | 包含 | 任意

字符串

SSH密钥名称

连接

连接.SSH密钥.名称

XDR

是 | 包含 | 任意

字符串

启动模板名称

连接

连接.启动模板.名称

XDR

是 | 包含 | 任意

字符串

服务主体名称

连接

Connection.ServicePrincipal.Name

XDR

是 | 包含 | 任意

字符串

用户组名称

连接

Connection.UserGroup.Name

XDR

是 | 包含 | 任意

字符串

自动化账户名称

连接

Connection.AutomationAccount.Name

XDR

是 | 包含 | 任意

字符串

自动化账户钩子名称

连接

连接.自动化账户钩子.名称

XDR

是 | 包含 | 任意

字符串

API名称

连接

连接.API.名称

XDR

是 | 包含 | 任意

字符串

证书颁发机构名称

连接

连接.证书颁发机构.名称

XDR

是 | 包含 | 任意

字符串

存储桶名称

连接

连接.存储桶.名称

XDR

是 | 包含 | 任意

字符串

源用户

连接

连接.源用户

XDR

是 | 包含 | 任意

字符串

目标用户

连接

连接.目标用户

XDR

是 | 包含 | 任意

字符串

注册表

注册表.键

EDR

是 | 包含 | 任意

字符串

注册表

注册表.值

EDR

是 | 包含 | 任意

字符串

创建进程名称

注册表

注册表.创建者.名称

终端检测与响应

是|包含|任意

字符串

创建进程路径

注册表

注册表.创建者.路径

终端检测与响应

是|包含|任意

字符串

创建进程完整路径名称

注册表

注册表.创建者.完整路径名

终端检测与响应

是|包含|任意

字符串

创建进程命令行

注册表

注册表.创建者.命令行

终端检测与响应

是 | 包含 | 任意

字符串

操作

注册表

注册表.操作

备注

该字段必须包含以下确切值: 键_创建 , 键_删除 , 键_重命名 , 值_创建 , 值_删除 , 值_写入 .

终端检测与响应

是 | 任意

字符串

名称

用户连接

用户登录.名称

EDR

是 | 包含 | 任意

字符串

源用户

用户连接

UserLogin.SourceUser

XDR

是 | 包含 | 任意

字符串

目标用户

用户连接

UserLogin.DestinationUser

XDR

是 | 包含 | 任意

字符串

用户连接

UserLogin.Domain

EDR

是 | 包含 | 任意

字符串

文件名

用户连接

用户登录.文件.名称

XDR

是 | 包含 | 任意

字符串

邮件主题

用户连接

用户登录.邮件.主题

XDR

是 | 包含 | 任意

字符串

应用名称

用户连接

用户登录.应用.名称

XDR

是 | 包含 | 任意

字符串

密钥保管库名称

用户连接

用户登录.密钥保管库.名称

XDR

是 | 包含 | 任意

字符串

角色名称

用户连接

UserLogin.Role.Name

XDR

是 | 包含 | 任意

字符串

策略名称

用户连接

UserLogin.Policy.Name

XDR

是 | 包含 | 任意

字符串

共享链接名称

用户连接

UserLogin.SharingLink.Name

XDR

是 | 包含 | 任意

字符串

流程名称

用户连接

UserLogin.Flow.Name

XDR

是 | 包含 | 任意

字符串

URL名称

用户连接

用户登录.URL.名称

XDR

是 | 包含 | 任意

字符串

SSH密钥名称

用户连接

用户登录.SSH密钥.名称

XDR

是 | 包含 | 任意

字符串

启动模板名称

用户连接

用户登录.启动模板.名称

XDR

是 | 包含 | 任意

字符串

服务主体名称

用户连接

用户登录.服务主体.名称

XDR

是 | 包含 | 任意

字符串

用户组名称

用户连接

UserLogin.UserGroup.Name

XDR

是 | 包含 | 任意

字符串

自动化账户名称

用户连接

UserLogin.AutomationAccount.Name

XDR

是 | 包含 | 任意

字符串

自动化账户钩子名称

用户连接

UserLogin.AutomationAccountHook.Name

XDR

是 | 包含 | 任意

字符串

API名称

用户连接

用户登录.Api.名称

XDR

是 | 包含 | 任意

字符串

证书颁发机构名称

用户连接

用户登录.证书颁发机构.名称

XDR

是 | 包含 | 任意

字符串

存储桶名称

用户连接

用户登录.存储桶.名称

XDR

是 | 包含 | 任意

字符串

源IP

用户连接

用户登录.源IP

XDR

是 | 包含 | 任意

有效IP

目标IP

用户连接

用户登录.目标IP

XDR

是 | 包含 | 任意

有效IP

主题

电子邮件

邮件.主题

两者

是 | 包含 | 任意

字符串

发件人

电子邮件

邮件.发件人

两者

是 | 包含 | 任意

字符串

收件人

电子邮件

邮件.收件人

两者

是 | 包含 | 任意

字符串

附件

电子邮件

电子邮件.附件

两者

是 | 包含 | 任意

字符串

网址

电子邮件

电子邮件.网址

XDR

是 | 包含 | 任意

字符串

名称

应用程序

应用程序.名称

XDR

是 | 包含 | 任意

字符串

标识符

应用程序

应用程序.标识符

XDR

是 | 包含 | 任意

字符串

应用地址

应用

应用.地址

XDR

是 | 包含 | 任意

字符串

源用户

应用

应用.源用户

XDR

是 | 包含 | 任意

字符串

目标用户

应用

应用.目标用户

XDR

是 | 包含 | 任意

字符串

源IP

应用程序

应用程序.源IP

XDR

是 | 包含 | 任意

有效IP

目标IP

应用程序

应用程序.目标IP

XDR

是 | 包含 | 任意

有效IP

名称

密钥保管库

密钥保管库.名称

XDR

是 | 包含 | 任意

字符串

源用户

密钥保管库

密钥保管库.源用户

XDR

是 | 包含 | 任意

字符串

目标用户

密钥保管库

密钥保管库.目标用户

XDR

是 | 包含 | 任意

字符串

源IP

密钥保管库

密钥保管库.源IP

XDR

是 | 包含 | 任意

有效IP

目标IP

密钥保管库

密钥保管库.目标IP

XDR

是 | 包含 | 任意

有效IP

名称

角色

角色.名称

XDR

是 | 包含 | 任意

字符串

标识

角色

角色标识

XDR

是 | 包含 | 任意

字符串

源用户

角色

角色源用户

XDR

是 | 包含 | 任意

字符串

目标用户

角色

角色目标用户

XDR

是 | 包含 | 任意

字符串

源IP

角色

角色源IP

XDR

是 | 包含 | 任意

有效IP

目标IP

角色

角色.目标IP

XDR

是 | 包含 | 任意

有效IP

名称

策略

策略.名称

XDR

是 | 包含 | 任意

字符串

ID

策略

策略.ID

XDR

是 | 包含 | 任意

字符串

资源策略类型

策略

策略.资源策略类型

XDR

是 | 包含 | 任意

字符串

源用户

策略

策略.源用户

XDR

是 | 包含 | 任意

字符串

目标用户

策略

策略.目标用户

XDR

是 | 包含 | 任意

字符串

源IP

策略

策略.源IP

XDR

是 | 包含 | 任意

有效IP

目标IP

策略

策略.目标IP

XDR

是 | 包含 | 任意

有效IP

名称

共享链接

共享链接.名称

XDR

是 | 包含 | 任意

字符串

网址

共享链接

共享链接.网址

XDR

是 | 包含 | 任意

字符串

源用户

共享链接

共享链接.源用户

XDR

是 | 包含 | 任意

字符串

目标用户

共享链接

SharingLink.DestinationUser

XDR

是 | 包含 | 任意

字符串

源IP

共享链接

SharingLink.SourceIP

XDR

是 | 包含 | 任意

有效IP

目标IP

共享链接

SharingLink.DestinationIP

XDR

是 | 包含 | 任意

有效IP

名称

Flow.Name

XDR

是 | 包含 | 任意

字符串

标识

流.标识

XDR

是 | 包含 | 任意

字符串

网址

流.网址

XDR

是 | 包含 | 任意

字符串

源用户

流.源用户

XDR

是 | 包含 | 任意

字符串

目标用户

流.目标用户

XDR

是 | 包含 | 任意

字符串

源IP

流.源IP

XDR

是 | 包含 | 任意

有效IP

目标IP

流.目标IP

XDR

是 | 包含 | 任意

有效IP

名称

URL.名称

XDR

是 | 包含 | 任意

字符串

URL

网址

URL.网址

XDR

是 | 包含 | 任意

字符串

源用户

网址

URL.源用户

XDR

是 | 包含 | 任意

字符串

目标用户

网址

URL.目标用户

XDR

是 | 包含 | 任意

字符串

源IP

网址

URL.源IP

XDR

是 | 包含 | 任意

有效IP

目标IP

URL

URL.目标IP

XDR

是 | 包含 | 任意

有效IP

名称

SSH密钥

SSH密钥.名称

XDR

是 | 包含 | 任意

字符串

SSH公钥

SSH密钥

SSH密钥.公钥

XDR

是 | 包含 | 任意

字符串

源用户

SSH密钥

SSH密钥.源用户

XDR

是 | 包含 | 任意

字符串

目标用户

SSH密钥

SshKey.目标用户

XDR

是 | 包含 | 任意

字符串

源IP

SSH密钥

SshKey.源IP

XDR

是 | 包含 | 任意

有效IP

目标IP

SSH密钥

SshKey.目标IP

XDR

是 | 包含 | 任意

有效IP

名称

启动模板

启动模板.名称

XDR

是 | 包含 | 任意

字符串

ID

启动模板

启动模板.ID

XDR

是 | 包含 | 任意

字符串

源用户

启动模板

启动模板.源用户

XDR

是 | 包含 | 任意

字符串

目标用户

启动模板

启动模板.目标用户

XDR

是 | 包含 | 任意

字符串

源IP

启动模板

LaunchTemplate.SourceIP

XDR

是 | 包含 | 任意

有效IP

目标IP

启动模板

LaunchTemplate.DestinationIP

XDR

是 | 包含 | 任意

有效IP

名称

服务主体

ServicePrincipal.Name

XDR

是 | 包含 | 任意

是 | 包含 | 任意

ID

服务主体

ServicePrincipal.Id

XDR

是 | 包含 | 任意

字符串

源用户

服务主体

服务主体.源用户

XDR

是 | 包含 | 任意

字符串

目标用户

服务主体

服务主体.目标用户

XDR

是 | 包含 | 任意

字符串

源IP

服务主体

服务主体.源IP

XDR

是 | 包含 | 任意

有效IP

目标IP

服务主体

服务主体.目标IP

XDR

是 | 包含 | 任意

有效IP

名称

用户组

用户组.名称

XDR

是 | 包含 | 任意

字符串

ID

用户组

用户组.ID

XDR

是 | 包含 | 任意

字符串

源用户

用户组

用户组.源用户

XDR

是 | 包含 | 任意

字符串

目标用户

用户组

用户组.目标用户

XDR

是 | 包含 | 任意

字符串

源IP

用户组

用户组.源IP

XDR

是 | 包含 | 任意

有效IP

目标IP

用户组

用户组.目标IP

XDR

是 | 包含 | 任意

有效IP

名称

自动化账户

自动化账户.名称

XDR

是 | 包含 | 任意

字符串

ID

自动化账户

AutomationAccount.Id

XDR

是 | 包含 | 任意

字符串

源用户

自动化账户

AutomationAccount.SourceUser

XDR

是 | 包含 | 任意

字符串

目标用户

自动化账户

AutomationAccount.DestinationUser

XDR

是 | 包含 | 任意

字符串

源IP

自动化账户

AutomationAccount.SourceIP

XDR

是 | 包含 | 任意

有效IP

目标IP

自动化账户

AutomationAccount.DestinationIP

XDR

是 | 包含 | 任意

有效IP

名称

自动化账户钩子

AutomationAccountHook.Name

XDR

是 | 包含 | 任意

字符串

ID

自动化账户钩子

AutomationAccountHook.Id

XDR

是 | 包含 | 任意

字符串

源用户

自动化账户钩子

AutomationAccountHook.SourceUser

XDR

是 | 包含 | 任意

字符串

目标用户

自动化账户钩子

AutomationAccountHook.DestinationUser

XDR

是 | 包含 | 任意

字符串

源IP

自动化账户钩子

AutomationAccountHook.SourceIP

XDR

是 | 包含 | 任意

有效IP

目标IP

自动化账户钩子

AutomationAccountHook.DestinationIP

XDR

是 | 包含 | 任意

有效IP

名称

API

API名称

XDR

是 | 包含 | 任意

字符串

ID

API

API标识

XDR

是 | 包含 | 任意

字符串

目标用户

API

API目标用户

XDR

是 | 包含 | 任意

字符串

源IP

API

API源IP

XDR

是 | 包含 | 任意

有效IP

目标IP

API

Api.目标IP

XDR

是 | 包含 | 任意

有效IP

名称

证书颁发机构

证书颁发机构.名称

XDR

是 | 包含 | 任意

字符串

源用户

证书颁发机构

证书颁发机构.源用户

XDR

是 | 包含 | 任意

字符串

目标用户

证书颁发机构

证书颁发机构.目标用户

XDR

是 | 包含 | 任意

字符串

源IP

证书颁发机构

证书颁发机构.源IP

XDR

是 | 包含 | 任意

有效IP

目标IP

证书颁发机构

证书颁发机构.目标IP

XDR

是 | 包含 | 任意

有效IP

名称

存储桶

存储桶.名称

XDR

是 | 包含 | 任意

字符串

源用户

存储桶

存储桶.源用户

XDR

是 | 包含 | 任意

字符串

目标用户

存储桶

存储桶.目标用户

XDR

是 | 包含 | 任意

字符串

源IP

存储桶

存储桶.源IP

XDR

是 | 包含 | 任意

有效IP

目标IP

存储桶

存储桶.目标IP

XDR

是 | 包含 | 任意

有效IP

注意

任意 运算符表示一个数组。

示例

请求 :

{
   "params": {
        "companyId": "61827b8036492c2fc0718722",
        "type": 1,
        "page": 1,
        "perPage": 100
       },
   "jsonrpc": "2.0",
   "method": "getCustomRulesList",
   "id": "0df7568c-59c1-48e0-a31b-18d83e6d9810"
  }

响应 :

{
   "id": "0df7568c-59c1-48e0-a31b-18d83e6d9810",
   "jsonrpc": "2.0",
   "result": {
    "total": 1,
    "page": 1,
    "perPage": 100,
    "pagesCount": 1,
    "items": [
     {
      "id": "6188dfc42a1a0155e84afa57",
      "name": "testApi1111",
      "ownerId": "6082afe13cf8082cab49cacb",
      "description": "description test api",
      "companyId": "61827b8036492c2fc0718722",
      "status": 0,
      "tags": [
       "test",
       "api",
       "demo"
      ],
      "settings": {
       "status": 0,
       "target": "connection",
       "criteriaList": [
        {
         "field": "Connection.DestinationPort",
         "relation": "is",
         "value": [
          "25691"
         ]
        },
        {
         "field": "Connection.Process.Name",
         "relation": "contains",
         "value": [
          "./network1"
         ],
         "operator": "AND"
        },
        {
         "field": "Connection.SourcePort",
         "relation": "any",
         "value": [
          "22",
          "23",
          "24"
         ],
         "operator": "AND"
        }
       ],
       "severity": 1
      }
     }
    ]
   }
  }