获取自定义规则列表

此方法用于获取指定公司的自定义规则列表。

参数

参数	类型	可选	描述
`页码`	数字	否	结果页码，默认值为1。
`每页条数`	数字	否	每页显示的项目数量。上限为每页100项。默认值：每页30项
`公司ID`	字符串	否	要检索自定义规则列表的公司ID。默认值为生成API密钥的用户关联的公司ID。
`类型`	数字	否	要返回的规则类型。可能值：1 - 检测，2 - 排除

返回值

此方法返回一个包含自定义规则项目信息的数组。返回的对象包含：

页码 - 当前显示的页面
总页数 - 可用页面的总数
每页数量 - 每页返回的项目总数
项目 - 自定义规则项目列表。列表中的每个条目包含以下字段：
- ID
- 所有者
- 名称
- 公司ID
- 状态
- 标签
- 设置 - 规则设置。以下是可用设置：
  - 状态
  - 严重性 (若为检测规则)
  - 目标 (如进程、连接、文件)
  - 条件列表 ，对象数组。每个对象包含一个 字段 、一个 关系 和一个 值 .
    
    注意
    
    有关 条件列表 对象可能值的更多信息，请参阅检测与排除 .

检测与排除

检测 (类型=1)	排除 (类型=2)	显示名称	目标	字段	技术	关系	验证器
否	是	告警名称	不适用	检测	两者	是
是	是	名称	进程	进程.名称	终端检测与响应	是\|包含\|任意	字符串
是	是	路径	进程	进程.路径	终端检测与响应	是\|包含\|任意	字符串
是	是	完整路径名	进程	进程.完整路径名	终端检测与响应	是\|包含\|任意	字符串
是	是	命令行	进程	进程.命令行	终端检测与响应	是\|包含\|任意	字符串
是	是	父进程名称	进程	进程.父进程.名称	终端检测与响应	是\|包含\|任意	字符串
是	是	父进程路径	进程	进程.父进程.路径	终端检测与响应	是\|包含\|任意	字符串
是	是	父进程完整路径名称	进程	进程.父进程.完整路径名	终端检测与响应	是\|包含\|任意	字符串
是	是	父级命令行	进程	进程.父级.命令行	EDR	是 \|包含\| 任意	字符串
否	是	文件.名称	进程	进程.用户	EDR	是 \|包含\| 任意	字符串
否	是	文件.路径	进程	进程.MD5	EDR	是 \|包含\| 任意	字符串
否	是	SHA256	进程	进程.SHA2	EDR	是 \| 包含 \| 任意	字符串
是	是	名称	文件	文件.名称	两者	是 \| 包含 \| 任意	字符串
是	是	路径	文件	文件.路径	两者	是 \| 包含 \| 任意	字符串
是	是	完整路径名	文件	文件.完整路径名	两者	是 \|包含\| 任意	字符串
是	是	创建进程名称	文件	文件创建者名称	EDR	是\|包含\|任意	字符串
是	是	创建进程路径	文件	文件创建者路径	EDR	是\|包含\|任意	字符串
是	是	创建进程完整路径名称	文件	文件创建者完整路径名称	EDR	是\|包含\|任意	字符串
是	是	创建进程命令行	文件	文件创建者命令行	EDR	是\|包含\|任意	字符串
否	是	操作	文件	文件.操作备注此字段必须包含以下确切值： `创建` , `读取` , `写入` , `移动` , `重命名` , `复制` .	终端检测与响应	是 \| 任意	字符串
否	是	MD5	文件	文件.MD5	扩展检测与响应	是 \| 包含 \| 任意	字符串
否	是	SHA256	文件	文件.SHA256	XDR	是 \| 包含 \| 任意	字符串
否	是	URL	文件	文件.URL	XDR	是 \| 包含 \| 任意	字符串
否	是	创建进程用户	文件	文件.创建者.用户	EDR	是 \| 包含 \| 任意	字符串
是	是	源IP	连接	连接.源IP	两者	是 \| 包含 \| 任意	有效IP
是	是	目标IP	连接	连接.目标IP	两者	是\|包含\|任意	有效IP
是	是	源端口	连接	连接.源端口	终端检测与响应	是\|包含\|任意	0至65,535之间的整数
是	是	目标端口	连接	连接.目标端口	终端检测与响应	是\|包含\|任意	0至65,535之间的整数
是	是	创建进程名称	连接	连接.进程.名称	终端检测与响应	是 \|包含\| 任意	字符串
是	是	创建进程路径	连接	连接.进程.路径	终端检测与响应	是 \|包含\| 任意	字符串
是	是	创建进程完整路径名	连接	连接.进程.完整路径名	终端检测与响应	是 \|包含\| 任意	字符串
是	是	创建进程命令行	连接	连接.进程.命令行	终端检测与响应	是 \|包含\| 任意	字符串
否	是	创建进程用户	连接	连接.进程.用户	终端检测与响应	是 \| 包含 \| 任意	字符串
否	是	网址	连接	连接.网址	终端检测与响应	是 \| 包含 \| 任意	字符串
否	是	HTTP用户	连接	连接.HTTP用户	终端检测与响应	是 \| 包含 \| 任意	字符串
否	是	HTTP下载文件	连接	连接.HTTP下载文件	终端检测与响应	是 \| 包含 \| 任意	字符串
否	是	HTTP上传文件	连接	连接.HTTP上传文件	终端检测与响应	是 \| 包含 \| 任意	字符串
否	是	FTP用户	连接	连接.FTP用户	终端检测与响应	是 \| 包含 \| 任意	字符串
否	是	SMB域	连接	连接.SMB域	终端检测与响应	是 \| 包含 \| 任意	字符串
否	是	SMB共享路径	连接	连接.SMB共享路径	终端检测与响应	是 \| 包含 \| 任意	字符串
否	是	SMB用户	连接	连接.SMB用户	EDR	是 \| 包含 \| 任意	字符串
否	是	SSH用户	连接	连接.SSH用户	EDR	是 \| 包含 \| 任意	字符串
否	是	WMI执行查询	连接	连接.WMI执行查询	EDR	是 \| 包含 \| 任意	字符串
否	是	Telnet用户	连接	连接.Telnet用户	EDR	是 \| 包含 \| 任意	字符串
否	是	文件远程操作	连接	连接.文件远程操作注意此字段必须包含以下确切值： `创建` , `远程删除` , `读取` , `写入` , `移动` .	EDR	是 \| 任意	字符串
否	是	文件远程路径	连接	连接.文件远程路径	EDR	是 \| 包含 \| 任意	字符串
否	是	文件名	连接	连接.文件.名称	XDR	是 \| 包含 \| 任意	字符串
否	是	邮件主题	连接	连接.邮件.主题	XDR	是 \| 包含 \| 任意	字符串
否	是	应用程序名称	连接	连接.应用程序.名称	XDR	是 \| 包含 \| 任意	字符串
否	是	密钥保管库名称	连接	连接.密钥保管库.名称	XDR	是 \| 包含 \| 任意	字符串
否	是	角色名称	连接	连接.角色.名称	XDR	是 \| 包含 \| 任意	字符串
否	是	策略名称	连接	连接.策略.名称	XDR	是 \| 包含 \| 任意	字符串
否	是	共享链接名称	连接	连接.共享链接.名称	XDR	是 \| 包含 \| 任意	字符串
否	是	流程名称	连接	连接流名称	XDR	是 \| 包含 \| 任意	字符串
否	是	URL名称	连接	连接.URL.名称	XDR	是 \| 包含 \| 任意	字符串
否	是	SSH密钥名称	连接	连接.SSH密钥.名称	XDR	是 \| 包含 \| 任意	字符串
否	是	启动模板名称	连接	连接.启动模板.名称	XDR	是 \| 包含 \| 任意	字符串
否	是	服务主体名称	连接	连接.服务主体.名称	XDR	是 \| 包含 \| 任意	字符串
否	是	用户组名称	连接	连接.用户组.名称	XDR	是 \| 包含 \| 任意	字符串
否	是	自动化账户名称	连接	连接.自动化账户.名称	XDR	是 \| 包含 \| 任意	字符串
否	是	自动化账户钩子名称	连接	连接.自动化账户钩子.名称	XDR	是 \| 包含 \| 任意	字符串
否	是	接口名称	连接	连接.接口.名称	XDR	是 \| 包含 \| 任意	字符串
否	是	证书颁发机构名称	连接	连接.证书颁发机构.名称	XDR	是 \| 包含 \| 任意	字符串
否	是	存储桶名称	连接	连接.存储桶.名称	XDR	是 \| 包含 \| 任意	字符串
否	是	源用户	连接	连接.源用户	XDR	是 \| 包含 \| 任意	字符串
否	是	目标用户	连接	连接.目标用户	XDR	是 \| 包含 \| 任意	字符串
是	否	键	注册表	注册表.键	EDR	是 \| 包含 \| 任意	字符串
是	否	值	注册表	注册表.值	EDR	是 \| 包含 \| 任意	字符串
否	否	创建进程名称	注册表	注册表创建者名称	EDR	是\|包含\|任意	字符串
是	否	创建进程路径	注册表	注册表创建者路径	EDR	是\|包含\|任意	字符串
是	否	创建进程完整路径名	注册表	注册表创建者完整路径名	EDR	是\|包含\|任意	字符串
是	否	创建进程命令行	注册表	注册表创建者命令行	EDR	是\|包含\|任意	字符串
是	是	操作	注册表	Registry.Operation 备注此字段必须包含以下确切值： `key_created` , `key_deleted` , `key_renamed` , `value_created` , `value_deleted` , `value_written` .	EDR	是 \| 任意	字符串
否	是	名称	用户连接	UserLogin.Name	EDR	是 \| 包含 \| 任意	字符串
否	是	源用户	用户连接	用户登录.源用户	XDR	是 \| 包含 \| 任意	字符串
否	是	目标用户	用户连接	用户登录.目标用户	XDR	是 \| 包含 \| 任意	字符串
否	是	域	用户连接	用户登录.域	EDR	是 \| 包含 \| 任意	字符串
否	是	文件名	用户连接	用户登录.文件.名称	XDR	是 \| 包含 \| 任意	字符串
否	是	邮件主题	用户连接	用户登录.邮件.主题	XDR	是 \| 包含 \| 任意	字符串
否	是	应用名称	用户连接	用户登录.应用.名称	XDR	是 \| 包含 \| 任意	字符串
否	是	密钥保管库名称	用户连接	用户登录.密钥保管库.名称	XDR	是 \| 包含 \| 任意	字符串
否	是	角色名称	用户连接	用户登录.角色.名称	XDR	是 \| 包含 \| 任意	字符串
否	是	策略名称	用户连接	UserLogin.Policy.Name	XDR	是 \| 包含 \| 任意	字符串
否	是	共享链接名称	用户连接	UserLogin.SharingLink.Name	XDR	是 \| 包含 \| 任意	字符串
否	是	流程名称	用户连接	UserLogin.Flow.Name	XDR	是 \| 包含 \| 任意	字符串
否	是	URL名称	用户连接	用户登录.URL名称	XDR	是 \| 包含 \| 任意	字符串
否	是	SSH密钥名称	用户连接	用户登录.SSH密钥.名称	XDR	是 \| 包含 \| 任意	字符串
否	是	启动模板名称	用户连接	用户登录.启动模板.名称	XDR	是 \| 包含 \| 任意	字符串
否	是	服务主体名称	用户连接	用户登录.服务主体.名称	XDR	是 \| 包含 \| 任意	字符串
否	是	用户组名称	用户连接	UserLogin.UserGroup.Name	XDR	是 \| 包含 \| 任意	字符串
否	是	自动化账户名称	用户连接	UserLogin.AutomationAccount.Name	XDR	是 \| 包含 \| 任意	字符串
否	是	自动化账户钩子名称	用户连接	UserLogin.AutomationAccountHook.Name	XDR	是 \| 包含 \| 任意	字符串
否	是	接口名称	用户连接	UserLogin.Api.Name	XDR	是 \| 包含 \| 任意	字符串
否	是	证书颁发机构名称	用户连接	UserLogin.CertificateAuthority.Name	XDR	是 \| 包含 \| 任意	字符串
否	是	存储桶名称	用户连接	UserLogin.Bucket.Name	XDR	是 \| 包含 \| 任意	字符串
否	是	源IP	用户连接	UserLogin.SourceIP	XDR	是 \| 包含 \| 任意	有效IP
否	是	目标IP	用户连接	UserLogin.DestinationIP	XDR	是 \| 包含 \| 任意	有效IP
否	是	主题	邮件	邮件主题	两者	是 \| 包含 \| 任意	字符串
否	是	发件人	邮件	邮件发件人	两者	是 \| 包含 \| 任意	字符串
否	是	收件人	邮件	邮件收件人	两者	是 \| 包含 \| 任意	字符串
否	是	附件	邮件	邮件附件	两者	是 \| 包含 \| 任意	字符串
否	是	网址	电子邮件	邮件网址	XDR	是 \| 包含 \| 任意	字符串
否	是	名称	应用程序	应用程序名称	XDR	是 \| 包含 \| 任意	字符串
否	是	ID	应用程序	应用程序ID	XDR	是 \| 包含 \| 任意	字符串
否	是	应用地址	应用	应用.地址	XDR	是 \| 包含 \| 任意	字符串
否	是	源用户	应用	应用.源用户	XDR	是 \| 包含 \| 任意	字符串
否	是	目标用户	应用	应用.目标用户	XDR	是 \| 包含 \| 任意	字符串
否	是	源IP	应用	应用.源IP	XDR	是 \| 包含 \| 任意	有效IP
否	是	目标IP	应用程序	应用程序.目标IP	XDR	是 \| 包含 \| 任意	有效IP
否	是	名称	密钥保管库	密钥保管库.名称	XDR	是 \| 包含 \| 任意	字符串
否	是	源用户	密钥保管库	密钥保管库.源用户	XDR	是 \| 包含 \| 任意	字符串
否	是	目标用户	密钥保管库	密钥保管库.目标用户	XDR	是 \| 包含 \| 任意	字符串
否	是	源IP	密钥保管库	密钥保管库.源IP	XDR	是 \| 包含 \| 任意	有效IP
否	是	目标IP	密钥保管库	密钥保管库.目标IP	XDR	是 \| 包含 \| 任意	有效IP
否	是	名称	角色	角色.名称	XDR	是 \| 包含 \| 任意	字符串
否	是	ID	角色	角色ID	XDR	是 \| 包含 \| 任意	字符串
否	是	源用户	角色	角色.源用户	XDR	是 \| 包含 \| 任意	字符串
否	是	目标用户	角色	角色.目标用户	XDR	是 \| 包含 \| 任意	字符串
否	是	源IP	角色	角色.源IP	XDR	是 \| 包含 \| 任意	有效IP
否	是	目标IP	角色	角色.目标IP	XDR	是 \| 包含 \| 任意	有效IP
否	是	名称	策略	策略.名称	XDR	是 \| 包含 \| 任意	字符串
否	是	ID	策略	策略.ID	XDR	是 \| 包含 \| 任意	字符串
否	是	资源策略类型	策略	策略.资源策略类型	XDR	是 \| 包含 \| 任意	字符串
否	是	源用户	策略	策略.源用户	XDR	是 \| 包含 \| 任意	字符串
否	是	目标用户	策略	策略.目标用户	XDR	是 \| 包含 \| 任意	字符串
否	是	源IP	策略	策略.源IP	XDR	是 \| 包含 \| 任意	有效IP
否	是	目标IP	策略	策略.目标IP	XDR	是 \| 包含 \| 任意	有效IP
否	是	名称	共享链接	共享链接.名称	XDR	是 \| 包含 \| 任意	字符串
否	是	网址	共享链接	共享链接.网址	XDR	是 \| 包含 \| 任意	字符串
否	是	源用户	共享链接	共享链接.源用户	XDR	是 \| 包含 \| 任意	字符串
否	是	目标用户	共享链接	共享链接.目标用户	XDR	是 \| 包含 \| 任意	字符串
否	是	源IP	共享链接	共享链接.源IP	XDR	是 \| 包含 \| 任意	有效IP
否	是	目标IP	共享链接	共享链接.目标IP	XDR	是 \| 包含 \| 任意	有效IP
否	是	名称	流程	流程.名称	XDR	是 \| 包含 \| 任意	字符串
否	是	标识	流	流标识	扩展检测响应	是 \| 包含 \| 任意	字符串
否	是	网址	流	流网址	扩展检测响应	是 \| 包含 \| 任意	字符串
否	是	源用户	流	流源用户	扩展检测响应	是 \| 包含 \| 任意	字符串
否	是	目标用户	流	流目标用户	扩展检测响应	是 \| 包含 \| 任意	字符串
否	是	源IP	流	流.源IP	XDR	是 \| 包含 \| 任意	有效IP
否	是	目的IP	流	流.目的IP	XDR	是 \| 包含 \| 任意	有效IP
否	是	名称	流	URL.名称	XDR	是 \| 包含 \| 任意	字符串
否	是	URL	URL	URL.URL	XDR	是 \| 包含 \| 任意	字符串
否	是	源用户	网址	网址.源用户	XDR	是 \| 包含 \| 任意	字符串
否	是	目标用户	网址	网址.目标用户	XDR	是 \| 包含 \| 任意	字符串
否	是	源IP	网址	网址.源IP	XDR	是 \| 包含 \| 任意	有效IP
否	是	目标IP	网址	URL.目标IP	XDR	是 \| 包含 \| 任意	有效IP
否	是	名称	SSH密钥	SSH密钥.名称	XDR	是 \| 包含 \| 任意	字符串
否	是	SSH公钥	SSH密钥	SSH密钥.公钥	XDR	是 \| 包含 \| 任意	字符串
否	是	源用户	SSH密钥	SSH密钥.源用户	XDR	是 \| 包含 \| 任意	字符串
否	是	目标用户	SSH密钥	SshKey.目标用户	XDR	是 \| 包含 \| 任意	字符串
否	是	源IP	SSH密钥	SshKey.源IP	XDR	是 \| 包含 \| 任意	有效IP
否	是	目标IP	SSH密钥	SshKey.目标IP	XDR	是 \| 包含 \| 任意	有效IP
否	是	名称	启动模板	LaunchTemplate.名称	XDR	是 \| 包含 \| 任意	字符串
否	是	ID	启动模板	启动模板.ID	XDR	是 \| 包含 \| 任意	字符串
否	是	源用户	启动模板	启动模板.源用户	XDR	是 \| 包含 \| 任意	字符串
否	是	目标用户	启动模板	启动模板.目标用户	XDR	是 \| 包含 \| 任意	字符串
否	是	源IP	启动模板	启动模板.源IP	XDR	是 \| 包含 \| 任意	有效IP
否	是	目标IP	启动模板	LaunchTemplate.目标IP	XDR	是 \| 包含 \| 任意	有效IP
否	是	名称	服务主体	ServicePrincipal.名称	XDR	是 \| 包含 \| 任意	是 \| 包含 \| 任意
否	是	ID	服务主体	ServicePrincipal.ID	XDR	是 \| 包含 \| 任意	字符串
否	是	源用户	服务主体	服务主体.源用户	XDR	是 \| 包含 \| 任意	字符串
否	是	目标用户	服务主体	服务主体.目标用户	XDR	是 \| 包含 \| 任意	字符串
否	是	源IP	服务主体	服务主体.源IP	XDR	是 \| 包含 \| 任意	有效IP
否	是	目标IP	服务主体	服务主体.目标IP	XDR	是 \| 包含 \| 任意	有效IP
否	是	名称	用户组	用户组.名称	XDR	是 \| 包含 \| 任意	字符串
否	是	ID	用户组	用户组.ID	XDR	是 \| 包含 \| 任意	字符串
否	是	源用户	用户组	用户组.源用户	XDR	是 \| 包含 \| 任意	字符串
否	是	目标用户	用户组	用户组.目标用户	XDR	是 \| 包含 \| 任意	字符串
否	是	源IP	用户组	UserGroup.SourceIP	XDR	是 \| 包含 \| 任意	有效IP
否	是	目的IP	用户组	UserGroup.DestinationIP	XDR	是 \| 包含 \| 任意	有效IP
否	是	名称	自动化账户	AutomationAccount.Name	XDR	是 \| 包含 \| 任意	字符串
否	是	ID	自动化账户	AutomationAccount.Id	XDR	是 \| 包含 \| 任意	字符串
否	是	源用户	自动化账户	AutomationAccount.SourceUser	XDR	是 \| 包含 \| 任意	字符串
否	是	目标用户	自动化账户	AutomationAccount.DestinationUser	XDR	是 \| 包含 \| 任意	字符串
否	是	源IP	自动化账户	AutomationAccount.SourceIP	XDR	是 \| 包含 \| 任意	有效IP
否	是	目标IP	自动化账户	自动化账户.目标IP	XDR	是 \| 包含 \| 任意	有效IP
否	是	名称	自动化账户钩子	自动化账户钩子.名称	XDR	是 \| 包含 \| 任意	字符串
否	是	ID	自动化账户钩子	自动化账户钩子.ID	XDR	是 \| 包含 \| 任意	字符串
否	是	源用户	自动化账户钩子	自动化账户钩子.源用户	XDR	是 \| 包含 \| 任意	字符串
否	是	目标用户	自动化账户钩子	AutomationAccountHook.DestinationUser	XDR	是 \| 包含 \| 任意	字符串
否	是	源IP	自动化账户钩子	AutomationAccountHook.SourceIP	XDR	是 \| 包含 \| 任意	有效IP
否	是	目标IP	自动化账户钩子	AutomationAccountHook.DestinationIP	XDR	是 \| 包含 \| 任意	有效IP
否	是	名称	API	Api.Name	XDR	是 \| 包含 \| 任意	字符串
否	是	ID	API	API.ID	XDR	是 \| 包含 \| 任意	字符串
否	是	目标用户	API	API.目标用户	XDR	是 \| 包含 \| 任意	字符串
否	是	源IP	API	API.源IP	XDR	是 \| 包含 \| 任意	有效IP
否	是	目标IP	API	API.目标IP	XDR	是 \| 包含 \| 任意	有效IP
否	是	名称	证书颁发机构	证书颁发机构.名称	XDR	是 \| 包含 \| 任意	字符串
否	是	源用户	证书颁发机构	证书颁发机构.源用户	XDR	是 \| 包含 \| 任意	字符串
否	是	目标用户	证书颁发机构	证书颁发机构.目标用户	XDR	是 \| 包含 \| 任意	字符串
否	是	源IP	证书颁发机构	证书颁发机构.源IP	XDR	是 \| 包含 \| 任意	有效IP
否	是	目标IP	证书颁发机构	证书颁发机构.目标IP	XDR	是 \| 包含 \| 任意	有效IP
否	是	名称	存储桶	存储桶.名称	XDR	是 \| 包含 \| 任意	字符串
否	是	源用户	存储桶	存储桶.源用户	XDR	是 \| 包含 \| 任意	字符串
否	是	目标用户	存储桶	存储桶.目标用户	XDR	是 \| 包含 \| 任意	字符串
否	是	源IP	存储桶	存储桶.源IP	XDR	是 \| 包含 \| 任意	有效IP
否	是	目标IP	存储桶	存储桶.目标IP	XDR	是 \| 包含 \| 任意	有效IP

注意

该 任意 操作符表示数组。

示例

请求 :

{
   "参数": {
        "公司ID": "61827b8036492c2fc0718722",
        "类型": 1,
        "页码": 1,
        "每页数量": 100
       },
   "jsonrpc": "2.0",
   "方法": "获取自定义规则列表",
   "ID": "0df7568c-59c1-48e0-a31b-18d83e6d9810"
  }

响应 :

{
   "id": "0df7568c-59c1-48e0-a31b-18d83e6d9810",
   "jsonrpc": "2.0",
   "result": {
    "total": 1,
    "page": 1,
    "perPage": 100,
    "pagesCount": 1,
    "items": [
     {
      "id": "6188dfc42a1a0155e84afa57",
      "name": "testApi1111",
      "ownerId": "6082afe13cf8082cab49cacb",
      "description": "测试API描述",
      "companyId": "61827b8036492c2fc0718722",
      "status": 0,
      "tags": [
       "测试",
       "接口",
       "示例"
      ],
      "settings": {
       "status": 0,
       "target": "connection",
       "criteriaList": [
        {
         "field": "Connection.DestinationPort",
         "relation": "is",
         "value": [
          "25691"
         ]
        },
        {
         "field": "Connection.Process.Name",
         "relation": "contains",
         "value": [
          "./network1"
         ],
         "operator": "AND"
        },
        {
         "field": "Connection.SourcePort",
         "relation": "any",
         "value": [
          "22",
          "23",
          "24"
         ],
         "operator": "AND"
        }
       ],
       "severity": 1
      }
     }
    ]
   }
  }

本节内容 :

获取自定义规则列表

参数

返回值

注意

检测与排除

备注

注意

备注

注意

示例

搜索结果