异常事件

背景信息

IoT安全中心基于设备的行为分析，筛选存在异常的行为。异常行为可能是攻击者发起的攻击，也可能是潜伏的恶意程序。IoT安全中心从系统对象、进程行为、网络进出三个维度识别出异常事件。

操作项

完整的处理策略包括匹配规则（事件）、对应的处理动作、策略应用范围。您可以根据实际业务场景设置处理策略。

触发条件

• 普通模式：仅针对特定的事件进行匹配。

• 高级模式：通过通配符设置匹配规则，事件筛选支持的通配符操作如下表所示。

  匹配对象	支持的通配符	示例
  文件路径或进程	单个字符用半角问号（?）表示。 同一个路径内的任一字符用星号（*）表示。 任意层路径用两个星号（**）表示。	/system/dps/etc/*
  IP地址	支持子网掩码。 多个IP或IP段用半角逗号（,）分隔。 一组连续的IP用短划线（-）连接。	192.168.1.0/24,192.168.2.1-192.168.2.100

处理动作

处理动作是异常事件命中安全策略时的响应动作，包括告警、阻止、允许。

• 告警：本次不处理，后续再发生仍然会上报为异常事件。

• 阻止：后续同样的事件发生时，SOC会进行阻断操作。

• 允许：后续同样的事件发生时，SOC不做阻断处理，并且不再上报为异常事件。

异常详情

通过详情查看该异常事件的详细信息。