侦查规则

探测规则监视事件规律——a 阈值计数 a 内的匹配事件 窗口 分钟——自动发射一次或多次 反应行动 当该模式被击中时: 只登录它, 临时自动封存 IP, 锁定账户, 强制登录和/或电子邮件管理员 .

规则可以可选范围为工作时间,因此同样的模式在你的组织正常工作时间内部与外部可以区别对待.

规则如何连接访问日志

规则不是孤立运行的——当它开火时,它的行动就表现为它自己的事件 系统访问日志 (例如,带有自动锁定 IP 的规则产生一个 临时区块已过期- 稍后跟踪条目,任何规则更改本身都记录为 检测规则更改) (中文(简体) ). 阅读日志和调制规则是同一个反馈循环的两个观点——见 如何审查系统访问日志

Auto-Block IP 响应创建了与手动创建相同的临时块 访问块 看到了吗 访问块解释 ——规则只是将动作自动化,而不是你在日志中发现某事后手动操作.