自定义检测规则
使用 自定义检测规则 页面定义规则，将您环境中的特定行为标记为有效检测，并在 事件页面 .
注意
为确保此功能按预期运行，请前往 配置 > 更新 页面并勾选 为第三方GravityZone组件启用自动安全更新 复选框。否则，您创建的规则可能需等到下次 GravityZone 控制中心 更新。
-
点击 添加规则 按钮以创建新的自定义检测规则。更多详情请参阅 创建自定义检测规则 .
-
勾选全局复选框或单个规则复选框以选中它们。选中一个或多个规则后，您可以通过以下方式管理它们：
-
要启用或禁用规则，请点击 更改状态 下拉菜单并选择所需操作。
-
要删除规则，请点击 更多操作 下拉菜单并选择 删除 .
-
-
使用这些操作按钮自定义您的网格：
-
点击 重置视图 按钮将网格重置为默认的列显示和筛选设置。此操作还会清除现有筛选器及其值。
-
点击
显示或隐藏筛选器
按钮以显示或隐藏筛选器栏。
-
点击
打开设置
按钮以添加或移除网格中的列。
-
-
点击规则名称进入编辑模式并更新规则。点击列表中的规则可展开其详情面板，查看规则详情、更新或删除它。更多详情请参阅 检测规则详情面板 .
注意
每条规则在24小时内对每个终端最多生成10个事件。
创建自定义检测规则
要创建自定义检测规则，请按照以下步骤操作：
-
在 自定义检测规则 页面，点击 添加规则 按钮。
您将被重定向至 添加规则 页面。
-
配置 步骤1：检测规则定义 :
-
在 将以下情况视为检测 下，选择规则适用的实体类型：
-
进程
-
文件
-
连接
-
注册表
-
-
在 匹配以下条件 下，通过配置以下字段创建一个或多个规则：
-
条件 - 选择要与 值 字段中输入的值进行比对的组件、实体、设置或值。
注意
可用选项会根据在 将以下情况视为检测 字段。
-
运算符 - 选择在 条件 下选择的值与在 值 下输入的值之间的所需关系。可用选项包括：
-
等于 - 条件 下的值与在 值 字段中输入的值完全匹配。
-
包含 - 条件 下的值包含在 值 字段中输入的字符串（例如文件扩展名）。
重要提示
创建检测规则时请谨慎使用通配符，这会增加规则过于泛化的风险。泛化规则可能导致大量误报事件。
-
属于其中之一 - 条件 下的值与在 值 字段中输入的任何值匹配（在值之间执行
或操作）。输入每个值后必须按Enter键以完成操作。
-
-
值 - 输入您想与 条件 下的值进行比较的字符串。
您可以使用 新增 按钮为规则添加新条件。
重要提示
仅当满足所有条件时（在已添加条件之间执行
AND逻辑运算），规则才会触发事件。 -
-
点击 下一步 :
-
-
在 步骤2：检测规则设置 :
-
在 规则配置 部分设置参数：
-
在 规则名称 .
-
在 描述 栏简要说明规则功能。
-
选择要应用于该规则的 规则标签 。
规则标签可帮助您根据需要识别、分组和排序规则。若现有标签不适用，可点击 创建标签 按钮进行添加。
-
勾选 实时扫描 复选框可在创建后立即激活规则。
启用该选项后，当任何终端满足规则条件时都将生成警报。
-
-
配置 规则结果 部分的设置：
-
在 生成警报并设置严重级别 下，选择要为此规则触发警报分配的严重级别。
-
勾选 生成安全事件 框可在规则触发时自动生成事件。
注意
该设置为启用自动操作的必要条件。
-
-
点击 下一步 .
-
-
在第三步 检测规则目标 :
-
在 规则目标 部分，为 规则应用目标来源 设置选择以下选项之一：
-
选择您的公司 - 该规则适用于贵公司管理的所有终端设备。
-
终端标签 - 从贵公司可用的 终端标签 列表中选择。该规则仅适用于已应用所选标签的终端设备。这些标签的创建与管理位于 网络 > 标签管理 .
当您选择 终端标签 选项时，可从左侧菜单的列表中选择标签，当前选定的标签将显示在右侧菜单中。
-
-
点击 下一步 .
-
-
配置 步骤4：自动操作 :
-
勾选 启用自动操作 选框以激活自动操作。每次规则触发时，这些操作将应用于目标实体。
-
通过从下方列表勾选，为您要启用的此规则选择操作：
以下自动操作可供选择：
-
隔离
-
收集调查包
-
添加到沙箱
-
反恶意软件扫描
-
隔离
-
终止进程
重要提示
根据您的平台、公司许可证及终端安装的模块，某些特定操作可能不可用。
您可以通过点击 编辑设置 按钮进一步自定义某些操作。
-
-
点击 保存 .
新规则现已出现在 自定义检测规则 列表中。
-
管理自定义检测规则
更改规则状态
启用或禁用规则的步骤如下：
-
勾选需修改规则旁的复选框。
注意
您可选择多条规则。
-
点击列表顶部的 更改状态 按钮。
-
选择要执行的操作。
或者，您可点击列表右侧对应菜单项并选择要执行的操作。
删除规则
删除规则的步骤如下：
-
勾选需修改规则旁的复选框。
注意
您可选择多条规则。
-
点击列表顶部的 删除 按钮。
-
点击 删除 再次点击以确认请求。
您可以选择多条规则。
编辑规则
要编辑规则，请点击 规则名称 列下的规则名称。或者，您也可以从 编辑规则 侧边面板中点击 规则详情 按钮。
有关如何配置规则的信息，请参阅 创建自定义排除规则 .
检测规则详情面板
规则详情面板包含所选规则的信息、规则条件、规则标签、规则结果以及更新或删除选项。
-
点击 查看警报 和 查看事件 选项将分别跳转至 搜索 和 事件 页面。预填充查询会自动运行以检索该规则触发的所有警报或事件。
-
点击 编辑规则 按钮将打开规则定义窗口，您可在此修改规则设置。