› › ›

添加 Osquery 响应操作

此功能处于技术预览阶段，可能在未来的版本中更改或删除。Elastic 将致力于修复任何问题，但技术预览中的功能不受正式 GA 功能的支持 SLA 的约束。

Osquery 响应操作允许您将实时查询添加到自定义查询规则中，以便您可以自动收集规则正在监控的系统上的数据。使用此数据来支持您的警报分类和调查工作。

您可以将 Osquery 响应操作添加到新的或现有的自定义查询规则中。查询在规则每次执行时都会运行。

选择以下选项之一
- 新规则：当您处于自定义查询规则创建的最后一步时，转到“响应操作”部分，然后单击 Osquery 图标。
- 现有规则：编辑规则的设置，然后转到操作选项卡。在选项卡中，单击响应操作部分下的 Osquery 图标。
  
  如果规则的调查指南正在使用 Osquery 查询，系统会询问您是否要将查询添加为 Osquery 响应操作。单击添加将调查指南的查询添加到规则的 Osquery 响应操作中。
指定您是想设置单个实时查询还是一个包
- 查询：选择已保存的查询或输入新的查询。输入查询后，您可以展开高级部分来设置查询的超时时间段，并查看或设置实时查询结果中包含的已映射的 ECS 字段（可选）。
  
  覆盖查询的默认超时时间段允许您支持运行时间更长的查询。超时字段的默认值和最小支持值为 60。最大支持值为 900。
  
  您可以使用占位符字段将警报数据动态添加到您的查询中。
- 包：从可用的查询包中选择。选择包后，将显示包中的所有查询。
  
  请参阅预构建包，了解如何使用和管理 Elastic 预构建包。
单击 Osquery 图标以添加更多实时查询（可选）。
单击 创建并启用规则（对于新规则）或 保存更改（对于现有规则）以完成添加查询。