Comment configurer les règles de détection

Remarque: il n'y a pas de bouton visible "Nouvelle règle" dans l'interface utilisateur actuelle — seulement éditer, activer/désactiver, et supprimer une règle existante. Le chemin de création existe dans le code sous-jacent mais rien dans l'interface ne l'atteint. Ne cherchez pas un moyen d'ajouter une nouvelle règle à partir de zéro; confirmez que c'est toujours vrai lorsque vous examinez.

Régler le seuil, la réponse et le comportement de notification d'une règle de détection automatique existante.

Avant de commencer

Les Gérer les règles de détection droit (séparer de, et en plus de Gérer les règles d'accès droit nécessaire pour le reste de la section Sécurité — sans elle, vous êtes verrouillé à la lecture seule Logs sous-vue même si vous essayez d'atteindre les règles de détection directement).

Étapes

1. Allez à Paramètres → Sécurité du système → Logs d'accès au système, puis passer au Configuration des règles de détection sous-tab.
2. Chaque règle indique son type, un résumé de ses seuils/fenêtres/actions, une puce active/désactivée et un commutateur activé/désactivé.
3. Basculez l'interrupteur pour activer ou désactiver une règle directement depuis la liste.
4. Cliquez sur Modifier (pencil) icône à ouvrir Modifier la règle de détection : {type de règle} et ajuster:
   • Activé commutateur
   • Nombre de seuils et Fenêtre (minutes) — combien d'événements correspondants dans quelle fenêtre de temps déclenche la règle
   • Heures d'ouverture et de fin et Heures d'ouverture fuseau horaire (texte libre, par exemple "Amérique/New York")
   • Mesures prises — les cases à cocher: Log Only, Auto-Block IP (temporaire), Lock Account, Force Déconnexion, Avis Admin (Email)
   • Durée du bloc temporaire (minutes) — utilisé si Auto-Block IP est vérifié
   • Courriels de notification — séparé par des virgules, utilisé si Avert Admin est coché
5. Sauvez.

Pour supprimer une règle

Cliquez sur Supprimer icône de la règle.

Ce que vous verrez

Les changements s'appliquent immédiatement aux événements de correspondance futurs. Les actions d'une règle déclenchée (bloc automatique, verrouillage de force, etc.) s'affichent comme leurs propres types d'événements dans les journaux d'accès système, de sorte que vous pouvez confirmer une règle est en fait lancer.