配置威胁检测规则

开启或关闭预定义规则

云安全中心提供丰富的检测告警和事件的预定义规则，包括：进程异常行为、Web攻击成功、恶意域名请求、异常登录、异常网络流量、恶意网络请求、异常Web行为。您可以查看预定义规则的详情、开启或关闭预定义规则，不允许编辑和删除预定义规则。

1. 在左侧导航栏，选择威胁分析与响应 > 规则管理。

2. 在检测规则页签，将规则类型的筛选条件置为预定义。

3. （可选）在目标预定义规则操作列单击详情，查看规则的基本信息和事件生成设置。

4. 在目标预定义规则的启用状态列，单击开关图标，开启或关闭规则。

新增自定义规则

如果预定义规则不能满足所有业务需求，您可以参考以下步骤新增自定义规则。

1. 在左侧导航栏，选择威胁分析与响应 > 规则管理。

2. 在检测规则页签，单击新增规则，然后在新增规则页面配置规则信息。

   配置项	描述
   基本信息	设置自定义规则的基本信息。 规则名称：输入自定义规则的名称。 规则描述：输入规则用途的描述，方便您了解规则。 威胁等级：在下拉列表中选择规则检测出的告警或事件的风险等级。关于风险等级的更多说明，请参见安全事件风险等级说明。 威胁类型：在下拉列表中选择规则定义的威胁类型。告警类型的说明，请参见安全告警类型列表。
   规则逻辑设置	设置对安全告警的聚合规则。 日志范围：选择自定义规则生效的日志分类和日志类型。 根据接入的云产品类型，云安全中心会提供对应的日志类型供您选择。 匹配字段：选择告警或事件匹配的字段及字段值。云安全中心会根据您选择的日志范围提供可匹配的字段。 查看字段操作符的说明 >：大于，支持数字类型字段。 >=：大于等于，支持数字类型字段。 <：小于，支持数字类型字段。 <=：小于等于，支持数字类型字段。 =：等于，支持数字和字符串类型字段。 <>：不等于，支持数字与字符串类型字段。 LIKE：用法与SQL语法中的like一致，支持字符串类型字段。 NOT LIKE：LIKE语义取否，支持字符串类型字段。 IN：in集合，多个字段用半角逗号（,）分隔，支持字符串类型字段。 NOT IN：in取否，多个字段用半角逗号（,）分隔，支持字符串类型字段。 REGEXP：正则判断，支持字符串类型字段。 NOT REDEXP：正则模式取否，支持字符串类型字段。 THREAT DETECT：威胁检测规则，只支持验证src_ip、dst_ip、domain、url、md5字段。在威胁检测数据库匹配指定字段，如果命中返回true。 NOT_IN_IP_DATASET：与数据集的主键进行匹配。需要指定数据集的主键为IP类型字段，支持IP地址和CIDR格式。 IN_IP_DATASET：与数据集的主键进行匹配。需要指定数据集的主键为IP类型字段，支持IP地址和CIDR格式。 NOT_IN_IDATASET：与数据集的主键进行匹配。需要指定数据集的主键为常用的string类型字段。 IN_DATASET：与数据集的主键进行匹配。需要指定数据集的主键为常用的string类型字段。 在一个字段组下支持配置多条字段，单击+ 新增字段可配置多个字段。多个字段之间以“与”关系生效。 单击+ 新增字段组可以配置多个字段组。多个字段组之间以“或”关系生效。 聚合字段：选择事件的聚合字段。 日志数量阈值：日志字段触发告警的阈值条件。 统计周期：设置告警聚合的时间周期。 云安全中心将根据聚合字段对统计周期内的日志类型进行聚合。
   事件生成设置	设置该规则检测到的告警是否转化为事件。 选择是，该规则命中的告警才会被转化为事件。支持选择以下事件生成方式： 使用内置事件规则：该规则命中的告警会聚合到预定义事件（指由预定义规则生成的事件）中。 每个告警生成一个事件：每个告警均会生成一个事件。 所有由该规则生成的告警聚合为一个事件：该规则命中的告警自动聚合为一个事件。 选择该项时，您需要配置告警聚合为一个事件的执行周期，最多可设置24小时。

3. （可选）单击测试并选择测试方式，测试规则是否生效。

   支持选择以下测试方式：

   • 模拟数据：选择该测试方式需要您自行编写SQL语句测试命中数据，可参考模拟数据值的示例编写SQL语句。完成模拟数据值编写后，单击进行测试。

   • 业务数据：选择该方式会将真实产生的业务数据用于规则测试。单击进行测试即可查看该规则展示的告警及事件数量折线图、告警及事件列表。

   测试默认会运行7天。您也可以单击上线或结束测试提前结束测试。单击上线后该规则会立即生效；单击结束测试后，您需要单击图标返回规则管理页面，云安全中心会创建该规则并且该规则为禁用状态。

4. 如果您未执行测试操作，在新增规则页面，确认规则无误后，单击上线。

   如无需立即上线规则，您可以单击保存为草稿保存规则内容。

创建自定义规则后，您可以在规则管理页面查看规则详情、测试、启用、禁用、编辑和删除规则。

新增数据集

1. 在左侧导航栏，选择威胁分析与响应 > 规则管理。

2. 单击数据集页签，然后单击新增数据集，进入新增数据集面板。

3. 在数据集区域单击下载文件模板，下载数据集文件模板到本地，填写文件模板并保存。

   填写数据集文件模板时，请注意以下事项：

   • 上传文件模板时，您需要指定数据集的主键，用于搜索和匹配日志数据。数据记录的主键字段不允许为空或重复。

     如果您上传的数据集主键列字段存在重复值时，系统将自动删除重复字段。

   • 上传的文件模板的大小不超过3 MB。

   • 文件模板中的数据集记录不超过5000条。

   • 文件模板中，任一数据集字段的长度不超过200 Byte。

4. 返回新增数据集面板，填写数据集名称、描述，上传数据集文件模板，并指定数据集主键，然后单击下一步。

   系统校验数据集字段的合法性，如果数据集字段填写有误，请根据页面提示修改。

5. 在验证和创建页签，确认上传的数据集无误后，单击确认。

后续步骤

您可以在创建检测规则和新增响应编排的剧本时，直接引用新增的数据集。具体操作，请分别参见处置安全事件和步骤一：新增剧本。

您可以在数据集列表的被引用列，查看数据集被规则和剧本引用的情况。

更多操作

• 如果您需要新增或删除数据集，您可以在数据集列表的操作列单击编辑。

• 如果您需要批量更新数据集列表，您可以重新编辑好数据集文件模板后，在数据集列表的操作列单击批量更新，重新上传文件模板。

• 如果您确认某个数据集不再使用，您可以在数据集列表的操作列单击删除，删除对应的数据集。

  说明

  已被检测规则或剧本引用的数据集不允许删除。