› ›

列表 API

列表可以与检测规则异常一起使用，以定义阻止规则生成警报的值。

列表由以下部分组成：

列表容器：用于存储相同 Elasticsearch 数据类型的值的容器。可以使用以下数据类型：
- 布尔型
- 字节型
- 日期型
- 纳秒日期型
- 日期范围型
- 双精度浮点型
- 双精度浮点型范围
- 单精度浮点型
- 单精度浮点型范围
- 半精度浮点型
- 整型
- 整型范围
- IP 地址型
- IP 地址范围型
- 关键字型
- 长整型
- 长整型范围
- 短整型
- 文本型
列表项：用于确定异常是否阻止生成警报的值。

同一列表容器中的所有列表项必须具有相同的数据类型，并且每个项定义一个单一值。例如，名为 internal-ip-addresses-southport 的 IP 列表容器包含五个项，其中每个项定义一个内部 IP 地址。

要将这些 IP 地址用作定义规则异常的值，请使用 异常 API 创建一个异常项，该项引用 internal-ip-addresses-southport 列表。

列表不能直接添加到规则中，也不能定义用于确定何时应用异常的操作符（is in list，is not in list）。使用异常项来定义操作符并将其与异常容器关联。然后，您可以将异常容器添加到规则的 exceptions_list 对象中。

在开始使用列表之前，必须为相关的 Kibana 空间创建 .lists 和 .items 数据流。要了解如何执行此操作，请访问列表索引端点。

创建这些数据流后，您的角色需要具有管理规则的权限。有关完整的要求列表，请参阅启用和访问检测。