Wie man Detektionsregeln konfiguriert
Hinweis: es gibt keinen sichtbaren "Neue Regel"-Button in der aktuellen UI - nur Bearbeiten, Aktivieren/Deaktivieren und Löschen einer bestehenden Regel. Der create-Pfad existiert im darunterliegenden Code, aber nichts in der Schnittstelle erreicht ihn. Suchen Sie nicht nach einem Weg, um eine neue Regel von Grund auf neu hinzuzufügen; bestätigen Sie, dass dies immer noch wahr ist, wenn Sie überprüfen.
Passen Sie die Schwelle, das Reaktions- und Benachrichtigungsverhalten einer bestehenden automatischen Erkennungsregel an.
Bevor Sie beginnen
Die Regeln für die Detektion von Vorschriften verwalten rechts (abtrennen von und zusätzlich zu der Zugriffsregeln verwalten rechts für den Rest der Security-Sektion benötigt - ohne sie, Sie sind auf die Lese-only-Logs-Sub-View gesperrt, auch wenn Sie versuchen, Detection-Regeln direkt zu erreichen).
Schritte
- Gehen Sie zu Einstellungen - Systemsicherheit - System-Zugriffsprotokolle, dann auf die Detektion Regeln Konfiguration unterregisterkarte.
- Jede Regel zeigt ihren Typ, eine Zusammenfassung der Schwelle/Window/Aktionen, einen Active/Disabled Chip und einen aktivieren/deaktivierbaren Schalter.
- Um den Schalter umzuschalten, um eine Regel direkt aus der Liste einzu- oder auszuschalten.
- Klicken Sie auf Edit (Bencil) Symbol zu öffnen Bearbeiten Sie Detektionsregel: {rule type] und anpassen:
- Ermöglicht Schalter
- Schwellenzähler und Fenster (Minuten) Wie viele passende Ereignisse in welchem Zeitfenster die Regel auslösen
- Business Hours Start/Ende und Business Hours Zeitzone (freier Text, z.B. "America/New_York")
- Reaktionsmaßnahmen Checkboxen: Log Only, Auto-Block IP (Temporary), Lock Account, Force Logout, Benachrichtigen Admin (Email)
- Temp Block Dauer (Minuten) verwendet, wenn Auto-Block IP geprüft wird
- Mitteilung E-Mails Komma-getrennt, gebraucht, wenn die Anzeige von Admin geprüft wird
- Sparen.
Um eine Regel zu entfernen
Klicken Sie auf Löschen (Trash) Symbol in der Zeile der Regel.
Was Sie sehen werden
Änderungen gelten für zukünftige Matching-Veranstaltungen sofort. Die Aktionen einer ausgelösten Regel (auto-block, Force Logout, etc.) zeigen sich in System Access Logs als eigene Ereignistypen an, so dass Sie bestätigen können, dass eine Regel tatsächlich feuert.
