› ›

列表 API

列表可以与检测规则异常一起使用，以定义阻止规则生成警报的值。

列表由以下部分组成

列表容器：用于存储相同 Elasticsearch 数据类型的值的容器。可以使用以下数据类型
- boolean（布尔值）
- byte（字节）
- date（日期）
- date_nanos（日期纳秒）
- date_range（日期范围）
- double（双精度浮点数）
- double_range（双精度浮点数范围）
- float（单精度浮点数）
- float_range（单精度浮点数范围）
- half_float（半精度浮点数）
- integer（整数）
- integer_range（整数范围）
- ip（IP 地址）
- ip_range（IP 地址范围）
- keyword（关键词）
- long（长整型）
- long_range（长整型范围）
- short（短整型）
- text（文本）
列表项：用于确定异常是否阻止生成警报的值。

同一列表容器中的所有列表项必须具有相同的数据类型，并且每个项定义一个值。例如，一个名为 internal-ip-addresses-southport 的 IP 列表容器包含五个项，其中每个项定义一个内部 IP 地址

要使用这些 IP 地址作为定义规则异常的值，请使用 异常 API 创建一个引用 internal-ip-addresses-southport 列表的异常项。

列表不能直接添加到规则中，它们也不定义用于确定何时应用异常的操作符（在列表中，不在列表中）。使用异常项来定义操作符并将其与异常容器关联。然后，您可以将异常容器添加到规则的 exceptions_list 对象。

在开始使用列表之前，您必须为相关的 Kibana 空间创建 .lists 和 .items 数据流。要了解如何执行此操作，请转到列表索引端点。

创建这些数据流后，您的角色需要具有管理规则的权限。有关完整的需求列表，请参阅启用和访问检测。