Detektionsregeln erklärt

Eine Erkennungsregel Uhren für ein Muster von Ereignissen Schwellenzähler von passenden Ereignissen innerhalb eines Fenster von Minuten und feuert automatisch ein oder mehr Reaktionsmaßnahmen wenn dieses Muster getroffen wird: nur protokollieren, vorübergehend automatisch die IP blockieren, das Konto sperren, einen Logout erzwingen und/oder E-Mail-Administratoren.

Regeln können optional auf Geschäftszeiten ausgeweitet werden, so dass das gleiche Muster innerhalb von außerhalb der normalen Arbeitszeiten Ihrer Organisation unterschiedlich behandelt werden kann.

Wie Regeln sich mit dem Zugangslog verbunden

Eine Regel funktioniert nicht isoliert - wenn sie feuert, zeigt sich ihre Aktion als ihr eigenes Ereignis in Systemzugriffsprotokolle (z.B. eine Regel mit Auto-Block IP erzeugt eine Temp Block ist ausgelaufen-Tracked Eintrag später, und jede Regeländerung selbst wird als protokolliert Änderung der Detection-Regel.) . Das Lesen der Protokoll- und Tuningregeln sind zwei Ansichten der gleichen Feedback-Schleife - siehe Wie man System-Access-Logs überprüft

Eine Auto-Block IP-Antwort erzeugt die gleiche Art von temporären Block, den Sie von Hand erstellen würden Zugangssperren - siehe Zugangssperren erklärt Die Regel ist nur die Automatisierung dieser Aktion, anstatt Sie es manuell tun, nachdem Sie etwas im Protokoll zu erkennen.