如何配置检测规则
说明: 当前UI中没有可见的"新规则"按钮——只编辑,启用/禁用,并删除已存在的规则. 创建路径存在于基础代码中,但界面中没有任何路径到达它. 不要寻找从零开始添加新规则的方法;在审核时确认这一点仍然是真实的.
调整现有自动检测规则的阈值,响应和通知行为.
在你开始之前
这个 管理检测规则 权利(除此之外) 管理访问规则 安全部分的其余部分所需要的权利——没有它,即使你试图直接达到"探测规则",你也会被锁入只读的日志子视图.
步骤
- 转到 设置 系统安全 系统访问日志,然后切换到 检测规则配置 亚塔布.
- 每个规则都显示其类型,其阈值/窗口/动作的概要,一个活性/残疾芯片,以及一个可启用/残疾开关.
- 切换开关可以直接从列表中打开或关闭规则 .
- 点击 编辑 要打开的 (pencil) 图标 编辑检测规则 : {规则类型} 并调整:
- 已启用 切换
- 阈值计数 和 窗口( 分钟) ——在何时窗口触发规则的几起匹配事件
- 营业时间开始/结束 和 商务小时时区 (免费文本,如"American/New York")
- 反应行动 ——复选框:仅日志,自动锁定 IP(临时),锁定账户,强制登录,通知管理员(电子邮件)
- 时间(分钟) —— 如果选中自动锁定 IP 则使用
- 通知电子邮件 ——逗号分隔,如果检查了通知管理员,则使用
- 救赎.
要删除规则
点击 删除 (trash)规则行上图标.
你会看到什么
修改立即适用于未来的匹配事件. 一个被触发的规则的动作(自发屏蔽,强制登录等)在系统访问日志中作为自己的事件类型出现,因此可以确认一条规则实际上正在被发射.
