Как настроить правила обнаружения

Примечание: в текущем пользовательском интерфейсе нет видимой кнопки «Новое правило» — только редактирование, включение / отключение и удаление существующего правила. Путь создания существует в базовом коде, но ничто в интерфейсе не достигает его. Не ищите способ добавить новое правило с нуля; подтвердите, что это все еще верно.

Отрегулируйте пороговое поведение, ответ и уведомление существующего правила автоматического обнаружения.

Прежде чем начать

Это Управляйте правилами обнаружения право (отдельно от и в дополнение к этому) Управлять правилами доступа право, необходимое для остальной части раздела «Безопасность» — без него вы заперты в подпросмотре «Логи только для чтения», даже если вы пытаетесь напрямую достичь Правил обнаружения.

Шаги

1. Пойти Настройки → Системная безопасность → Системные журналы доступазатем переключитесь на Правила обнаружения конфигурации сабтаб.
2. Каждое правило показывает свой тип, сводку порога/окна/действий, чип Active/Disabled и переключатель включения/отключения.
3. Переключите переключатель, чтобы включить или выключить правило непосредственно из списка.
4. Кликни Редактировать иконка для открытия Правило обнаружения: {тип правила} и корректировать:
   • Включенный менять
   • Пороговый граф и Окно (минуты) сколько совпадающих событий в окне времени запускают правило
   • Бизнес-часы начинаются и заканчиваются и Бизнес-часы Timezone (бесплатный текст, например "Америка/Нью Йорк")
   • Меры реагирования — Чекбоксы: Log Only, Auto-Block IP (Temporary), Lock Account, Force Logout, Notify Admin (Email)
   • Продолжительность блокировки (минуты) - используется при проверке Auto-Block IP
   • Уведомление Email — разделенная запятая, используется, если проверяется Notify Admin
5. Спаси.

Чтобы удалить правило

Кликни Исключить (мусорная) иконка в строке правила.

Что ты увидишь

Изменения относятся к будущим соответствующим событиям немедленно. Действия срабатывающего правила (автоблок, выход из строя и т. д.) отображаются как собственные типы событий в журналах системного доступа, поэтому вы можете подтвердить, что правило фактически работает.