涉及同一用户的多个告警

此规则使用告警数据来确定何时触发涉及同一用户的多个不同告警。分析师可以使用此功能来优先处理分类和响应，因为这些用户更有可能遭到入侵。

规则类型: 阈值

规则索引:

严重性: 高

风险评分: 73

每隔: 1 小时

搜索索引范围: now-24h (日期数学格式，另请参见 额外回溯时间)

每次执行的最大告警数: 100

参考: 无

标签:

版本: 3

规则作者:

规则许可证: Elastic License v2

signal.rule.name:* and user.name:* and not user.id:("S-1-5-18" or "S-1-5-19" or "S-1-5-20")