CreateDetectionRule - 创建检测规则

威胁分析的数据管理中心所在地。您需要根据资产所在地域，选择管理中心所在地。取值：

• cn-hangzhou：资产属于中国内地。
• ap-southeast-1：资产属于海外地域。

返回消息的语言类型。取值：

• zh（默认）：中文。
• en：英文。

检测规则名称。

检测规则描述。

检测规则类型。取值：

• preset：预置检测规则。
• custom：自定义检测规则。
• custom_template：规则模版。

检测规则状态。

告警类型。

告警威胁等级。 取值：

• 5：严重。
• 4：高危。
• 3：中危。
• 2：低危。
• 1：信息。

告警战术阶段。

告警 Att&Ck。

检测规则表达式类型。取值：

• sql：SQL。
• playbook：剧本。

检测规则表达式内容。

日志规范化类别 ID。

日志规范化方案 ID。

检测规则告警模版 ID。取值：

• ALERT_ACTIVITY：其他告警。
• EDR_ALERT_ACTIVITY：端点检测响应与告警。
• FIREWALL_ALERT_ACTIVITY：防火墙告警。
• WAF_ALERT_ACTIVITY：web 应用防火墙告警。

调度类型。取值：

• fixed_rate：固定间隔。
• cron：cron 表达式。

调度 Cron 表达式，ScheduleType 取值为 cron 时需填写。

超时最大重试次数，取值 1~100

调度开始时间（13 位时间戳）。

调度窗口长度。

超时最长时间，单位秒，取值 60~1800。

告警阈值周期长度。

告警阈值次数。

告警阈值字段列表，以英文逗号分隔。

事件聚合类型。取值：

• none：不生成事件。
• graph_compute：图计算（预定义规则支持）。
• expert：专家规则。
• passthrough：告警透出（1 对 1）。
• window：同类聚合（窗口）。

事件聚合周期配置。

剧本的 UUID。

剧本用户自定义参数。

管理员切换成其他成员视角的用户 ID。

实体映射配置。