自定义检测规则

通过 自定义检测规则 页面定义规则，将您环境中的特定行为标记为有效检测，并在事件页面 .

点击 添加规则 按钮以创建新的自定义检测规则。更多详情请参阅创建自定义检测规则 .
勾选全局复选框或单个规则复选框以选中它们。选中一个或多个规则后，您可以通过以下方式管理它们：
- 要启用或禁用规则，请点击 更改状态 下拉菜单并选择所需操作。
- 要删除规则，请点击 更多操作 下拉菜单并选择删除 .
使用以下操作按钮自定义网格视图：
- 点击 重置视图 按钮将网格恢复至默认的列显示和筛选设置。此操作还会清除现有筛选器及其值。
- 点击 显示/隐藏筛选器 按钮以显示或隐藏筛选栏。
- 点击 打开设置 按钮可添加或移除网格中的列。
点击规则名称进入编辑模式并更新规则。点击列表中的规则可展开其详情面板，查看规则详情、更新或删除规则。更多详情请参阅检测规则详情面板 .

注意

每条规则在24小时内对每个终端最多生成10个事件。

创建自定义检测规则

要创建自定义检测规则，请按照以下步骤操作：

在 自定义检测规则 页面中，点击 添加规则 按钮。

您将被重定向至 添加规则 页面。

YARA检测规则

在 添加规则 部分，您可以选择切换到YARA规则定义页面。
配置以下设置 步骤1：检测规则定义 :
1. 在 将以下情况视为检测 下，选择您希望规则适用的实体类型：
  - 进程
  - 文件
  - 连接
  - 注册表
2. 在 匹配以下条件 下，通过配置以下字段创建一个或多个规则：
  - 条件 - 选择您要对照值字段。
    
    注意
    
    可用选项会根据在 将每次 字段中的内容视为检测。
  - 运算符 - 选择条件下所选值与值下输入值之间所需的关系。可用选项包括：
    
    等于 - 条件下的值与值字段中输入的值完全匹配。
    
    包含 - 条件下的值包含值字段中输入的字符串（例如文件扩展名）。
    
    重要提示
    
    创建检测规则时请谨慎使用通配符，这会增加规则过于泛化的风险。泛化的规则可能导致大量误报事件。
    
    属于其中之一 - 条件下的值与值字段（在值之间执行 “或” 操作）。
    
    输入每个值后必须按Enter键以完成操作。
  - 值 - 输入您希望与条件进行比较的字符串。
  您可以使用新增按钮为规则添加新条件。
  
  重要提示
  
  仅当满足所有条件时规则才会触发事件（在已添加条件之间执行 “与” 操作）。
3. 点击 下一步 :
在 步骤2：检测规则设置 :
1. 在 规则配置 部分设置参数：
  1. 在 规则名称 .
  2. 在描述下简要说明规则功能。
  3. 选择 规则标签 以应用于该规则。
    
    规则标签可帮助您根据需要识别、分组和排序规则。若现有标签不适用，可点击 创建标签 按钮新增。
  4. 勾选 实时扫描 复选框可在创建后立即激活规则。
    
    启用此选项后，当任何终端满足规则条件时将生成警报。
    
    您可在事件 > 搜索页面通过查询中的 other.rule_id 字段查看警报。
2. 配置 规则结果 部分的设置：
  1. 在 生成警报时设置严重级别 下选择触发此规则所生成警报的严重级别。
  2. 勾选 生成安全事件 框可在规则触发时自动生成事件。
    
    注意
    
    此设置为启用自动操作的必要条件。
3. 点击 下一步 .
配置步骤3中的设置， 检测规则目标 :
1. 在 规则目标 部分，为 对以下目标应用规则 设置选择其中一个可用选项：
  - 选择您的公司 - 该规则适用于您公司管理的所有终端。
  - 终端标签 - 从您公司可用的终端标签列表中选择。该规则仅适用于已应用所选标签的终端。这些标签在网络 > 标签管理 .
    
    当您选择 终端标签 选项时，可以从左侧菜单的列表中选择标签，您当前选中的标签将显示在右侧菜单中。
2. 点击 下一步 .
配置 步骤4：自动操作 :
1. 勾选 启用自动操作 勾选此框以启用自动操作。每次规则触发时，这些操作将应用于目标实体。
2. 从下方列表中选择要为此规则启用的操作：
  
  可用的自动操作如下：
  - 隔离
  - 收集调查包
  - 添加至沙箱
  - 反恶意软件扫描
  - 隔离区
  - 风险扫描
  - 终止进程
    
    重要提示
    
    根据您的平台、公司许可证及终端安装的模块，某些特定操作可能不可用。
  您可以通过点击 编辑设置 按钮进一步自定义某些操作。
3. 点击保存 .
  
  新规则现已出现在 自定义检测规则 网格中。