自定义排除规则
通过 自定义排除规则 页面定义规则，将特定行为标记为与组织无关，从而避免在 事件页面 .
使用以下操作按钮自定义您的网格视图：
-
点击 重置视图 按钮可将网格恢复为默认的列显示和筛选设置。此操作还将清除现有筛选器及其值。
-
点击
显示/隐藏筛选器
按钮可显示或隐藏筛选器栏。
-
点击
打开设置
按钮可添加或移除网格中的列。
创建自定义排除规则
创建自定义排除规则需遵循以下步骤：
-
在 自定义排除规则 页面中，点击 添加规则 按钮。
系统将跳转至 添加规则 页面。
-
在 排除规则定义 部分，配置以下设置：
-
从 排除所有 字段中，选择需要纳入排除规则的元素类型。
-
使用 匹配以下 设置，配置将触发规则的设置：
-
在 选择条件 字段中，选择规则所需的参数。这些元素将与您在 在此输入值 字段中输入的自定义值进行比较。
某些字段仅兼容XDR或EDR技术。这些字段会标注
EDR或XDR标签。这意味着，例如使用带EDR标签参数的规则将不适用于通过XDR功能检测到的行为。未标注标签的参数可同时适用于两种技术。
提示
您可以在每个条件中使用 告警名称 参数来阻止特定告警生成事件。
使用此参数时，请确保输入值与 GravityZone 中显示的告警名称完全匹配。该参数不支持通配符，且仅兼容
等于运算符。 -
在 选择运算符 字段中，设置选定条件与您在 输入值 字段中输入值之间的关系：
-
等于 - 完全匹配值字段中输入的内容。
-
包含 - 匹配所有包含值字段中输入字符串的值（例如文件扩展名）。
重要
创建排除规则时请谨慎使用通配符，这可能导致规则过于宽泛。宽泛的规则可能增加忽略真实威胁的风险，使企业更易受攻击。
-
属于 - 匹配值字段中输入的任意值（各值之间执行
或运算）。输入每个值后必须按Enter键以完成操作。
-
-
在 在此输入类型值 字段中，输入您希望与条件进行比较的自定义值。
-
-
（可选）使用 新增 按钮为规则添加更多条件。
注意
该规则仅在满足所有条件时才会排除事件（在添加的条件之间执行
AND逻辑运算）。
-
点击 下一步 .
注意
应用于XDR警报的规则在交互级别生效。若要排除涉及超过2个节点交互的警报，需将规则配置为覆盖所有需排除的交互。
-
-
在 规则配置 部分设置参数：
-
在 规则配置 部分输入名称、描述，并为规则添加标签。
规则标签可帮助您按需识别、分组和排序规则。若无合适标签，可点击 创建标签 按钮进行添加。
-
勾选 启用排除规则 复选框以在创建后立即激活规则。
-
阅读规则结果部分的信息，此处说明规则的应用范围及效果。
-
点击 下一步 .
-
-
在 排除规则目标 部分设置规则的应用范围：
有两种方法可将规则应用于终端：
-
直接对公司应用规则 - 此方法会将规则应用于公司所有受管实体。
注意
此选项将显示您的公司名称。
此方法与所有参数兼容。
-
终端标签 - 此方法仅将规则应用于分配了特定标签的终端。
通过此方法应用的规则仅适用于通过EDR功能检测到的行为，与XDR技术不兼容。
提示
您可 管理终端标签 ，路径为 网络 > 标签管理 页面。
从该部分左侧的 终端标签 列表中勾选所需标签，可使用搜索栏查找特定标签。
所有选定标签将添加至该部分右侧的 已选终端标签 列表中。
-
-
点击 保存 .
新规则现已出现在 自定义排除规则 网格中，您可以在 事件 > 搜索 页面通过查询中的
other.rule_id字段查看生成的警报。
查看排除规则详情
要查看特定规则的详细信息，请在网格中找到该规则，并点击其所在行的任意位置以显示 规则详情 侧边面板。
该面板包含有关规则创建的信息、应用于规则的设置以及以下选项
-
其中 查看警报 选项会将您重定向至 搜索 页面，系统将自动运行预填查询以检索该规则触发的所有警报。
-
点击 编辑规则 按钮将弹出规则定义窗口，您可在其中修改规则设置。
-
点击 删除 按钮将永久移除该规则。