获取检测规则列表。
接口说明
发送通知有频率和时间的限定。 每天每个用户在 08:00-20:00 点最多收到两次通知，其余时间不会发送。
调试
您可以在OpenAPI Explorer中直接运行该接口，免去您计算签名的困扰。运行成功后，OpenAPI Explorer可以自动生成SDK代码示例。
授权信息
下表是API对应的授权信息，可以在RAM权限策略语句的Action元素中使用，用来给RAM用户或RAM角色授予调用此API的权限。具体说明如下：
- 操作：是指具体的权限点。
- 访问级别：是指每个操作的访问级别，取值为写入（Write）、读取（Read）或列出（List）。
- 资源类型：是指操作中支持授权的资源类型。具体说明如下：
- 对于必选的资源类型，用前面加 * 表示。
- 对于不支持资源级授权的操作，用
全部资源表示。
- 条件关键字：是指云产品自身定义的条件关键字。
- 关联操作：是指成功执行操作所需要的其他权限。操作者必须同时具备关联操作的权限，操作才能成功。
| 操作 | 访问级别 | 资源类型 | 条件关键字 | 关联操作 |
|---|---|---|---|---|
| yundun-sas:ListDetectionRules | list | *DetectionRule acs:yundun-sas::{#accountId}:detection/* |
| 无 |
请求参数
| 名称 | 类型 | 必填 | 描述 | 示例值 |
|---|---|---|---|---|
| RegionId | string | 否 | 威胁分析的数据管理中心所在地。您需要根据资产所在地域，选择管理中心所在地。取值：
| cn-hangzhou |
| Lang | string | 否 | 返回消息的语言类型。取值：
| zh |
| DetectionRuleName | string | 否 | 检测规则名称。 | Detect Discovery Behavior for Local Systems Groups |
| DetectionRuleId | string | 否 | 检测规则 ID。 | dr-ppa85gfw69tgwkys**** |
| DetectionRuleIds | array | 否 | 检测规则 ID 列表。 | |
| string | 否 | 检测规则 ID。 | dr-ppa85gfw69tgwkys**** | |
| DetectionRuleType | string | 否 | 检测规则类型。
| preset |
| DetectionRuleStatus | string | 否 | 检测规则状态。 | enabled |
| AlertType | string | 否 | 告警类型。 | siem_rule_type_alert_storm |
| AlertLevel | string | 否 | 告警威胁等级。 取值：
| 1 |
| AlertTacticId | string | 否 | 告警战术阶段。 | TA0042 |
| AlertAttCk | string | 否 | 告警 Att&Ck。 | Discovery |
| IncidentAggregationType | string | 否 | 事件聚合类型。取值：
| graph_compute |
| LogCategoryId | string | 否 | 日志规范化类别 ID。 | NETWORK_CATEGORY |
| LogSchemaId | string | 否 | 日志规范化方案 ID。 | API_RISK_ACTIVITY |
| DetectionExpressionType | string | 否 | 检测规则表达式内容。 | playbook |
| OrderFieldName | string | 否 | 排序字段。取值：
| GmtModified |
| OrderDirection | string | 否 | 排序方向，取值为：
| asc |
| PageNumber | integer | 否 | 分页参数：当前页码。 | 1 |
| PageSize | integer | 否 | 分页参数：每页显示条数。 | 100 |
| RoleFor | long | 否 | 管理员切换成其他成员视角的用户 ID。 | 113091674488**** |
| MaxResults | integer | 否 | 本次读取的最大数据量。 | 50 |
| NextToken | string | 否 | 下一个查询开始 Token。 | AAAAAUqcj6VO4E3ECWIrFczs**** |
返回参数
示例
正常返回示例
JSON格式
{
"RequestId": "508DCFFD-4508-54BF-A8A0-E97A0FA6****",
"DetectionRules": [
{
"CreateTime": 0,
"UpdateTime": 0,
"DetectionRuleId": "jndi-attack-success_http_netstat",
"DetectionRuleName": "Detect Discovery Behavior for Local Systems Groups\n",
"DetectionRuleDescription": "Check the enumeration behavior of local system groups. An attacker may attempt to find the Local Systems group and its permission settings.",
"DetectionRuleType": "custom",
"DetectionRuleStatus": "enabled",
"DetectionExpressionType": "playbook",
"DetectionExpressionContent": "*|set session mode=scan;SELECT * FROM log\nWHERE schema = 'PROCESS_START_ACTIVITY'\nAND (\n proc_path LIKE '%/groups'\n OR (\n (\n proc_path LIKE '%/cat'\n OR proc_path LIKE '%/head'\n OR proc_path LIKE '%/tail'\n OR proc_path LIKE '%/more'\n )\n AND cmdline LIKE '%/etc/group%'\n )\n)",
"LogCategoryId": "NETWORK_CATEGORY",
"LogSchemaId": "API_RISK_ACTIVITY",
"AlertSchemaId": "ALERT_ACTIVITY",
"ScheduleType": "fixed_rate",
"ScheduleExpression": "5m",
"ScheduleMaxRetries": 1,
"ScheduleBeginTime": 1733269771123,
"ScheduleWindow": "5m",
"ScheduleMaxTimeout": 60,
"AlertType": "WebShell",
"AlertLevel": 1,
"AlertTacticId": "TA0042",
"AlertAttCk": "Discovery",
"AlertThresholdPeriod": "5m",
"AlertThresholdCount": 10,
"AlertThresholdGroup": "alert_type,ip",
"IncidentAggregationType": "passthrough",
"IncidentAggregationExpression": "5m",
"PlaybookUuid": "dde983ed-eb56-45ea-ac2e-3b12b2a9****",
"PlaybookParameters": {
"ip": {
"ip": "124.23.*.*"
}
},
"Playbook": {
"Flow": [
{
"id": "EndEvent_1fqpq4h",
"zIndex": 1,
"data": {
"nodeType": "endEvent",
"appType": "basic",
"valueData": {},
"icon": "icon-radio-off-full"
},
"position": {
"x": 1369,
"y": 174
}
}
],
"Config": [
{
"name": "expireDay",
"dataType": "Integer",
"required": true,
"isArray": false,
"example": 7,
"description": "desc",
"typeName": "Integer",
"dataClass": "normal",
"stanchDefaultValue": 7
}
]
},
"EntityMappings": [
{
"NormalizationSchemaId": "ip",
"NormalizationFieldMappings": [
{
"NormalizationFieldName": "src_ip",
"MappingFieldName": "ip",
"NormalizationFieldType": "vachar"
}
]
}
]
}
],
"PageNumber": 2,
"PageSize": 10,
"TotalCount": 6,
"MaxResults": 50,
"NextToken": "AAAAAUqcj6VO4E3ECWIrFczs****"
}错误码
| HTTP status code | 错误码 | 错误信息 |
|---|---|---|
| 400 | IdempotentParameterMismatch | The request uses the same client token as a previous, but non-identical request. Do not reuse a client token with different requests, unless the requests are identical. |
访问错误中心查看更多错误码。