› › ›

创建共享异常列表

创建共享异常列表。

异常列表对异常项进行分组，并可以与规则关联。当异常项的查询结果为true时，即使关联规则的其他条件满足，也不会发出警报。

共享异常列表可以应用于多个检测规则。更多信息，请参考创建规则和更新规则。

添加到同一列表的所有异常项都使用OR逻辑进行评估。这意味着，如果列表中的任何一项评估结果为true，则会阻止规则生成警报。同样，当多个异常列表分配给一个规则时，也会使用OR逻辑来评估异常。要使用AND运算符，可以在单个异常项中定义多个子句（entries）。

请求 URL

编辑

POST <Kibana 主机>:<端口>/api/exceptions/shared

例如，使用 cURL

curl -X POST "<KibanaURL>/api/exceptions/shared"
-u <username>:<password> -H 'kbn-xsrf: true' -H "Content-Type: application/json"
--data "@<link to file>"

包含异常列表的.ndjson文件的相对链接。

示例请求

编辑

在exception_lists.ndjson文件中创建异常列表，并用具有相同list_id值的列表覆盖现有列表。

curl -X POST "<KibanaURL>/api/exceptions/shared"
-u <username>:<password> -H 'kbn-xsrf: true' -H "Content-Type: application/json"
--data "@<link to file>"

包含异常列表的.ndjson文件的相对链接。

响应代码

编辑

200: 表示调用成功。

响应负载

编辑

{
    "_version":"WzM2NDAsMV0=",
    "created_at":"2022-12-08T18:24:11.678Z",
    "created_by":"elastic",
    "description":"I want to share this list with other rules",
    "id":"832fb2f0-7725-11ed-aec7-81feddf7ae2b",
    "immutable":false,
    "list_id":"dc9e6f28-cedb-4dbb-985b-008956e49fd6",
    "name":"my shared exception list",
    "namespace_type":"single",
    "os_types":[],
    "tags":[],
    "tie_breaker_id":"8c041278-7a1c-4d8c-bb70-f84987fb2c63",
    "type":"detection",
    "updated_at":"2022-12-08T18:24:11.679Z",
    "updated_by":"elastic",
    "version":1
}

示例 ndjson 文件

编辑

{
    "name": "my shared exception list",
    "description": "I want to share this list with other rules"
}

« 创建异常项查找异常容器 »