添加 Osquery 响应操作
编辑添加 Osquery 响应操作
编辑此功能为技术预览版，可能会在未来的版本中更改或删除。Elastic 将努力修复任何问题，但技术预览版的功能不受官方 GA 功能的支持 SLA 约束。
Osquery 响应操作允许您向自定义查询规则添加实时查询，以便自动收集规则正在监视的系统上的数据。使用此数据来支持您的警报分类和调查工作。
向规则添加 Osquery 响应操作
编辑您可以向新的或现有的自定义查询规则添加 Osquery 响应操作。每次执行规则时，都会运行查询。
-
选择以下选项之一
- 新规则：当您处于自定义查询规则创建的最后一步时，转到“响应操作”部分，然后单击Osquery 图标。
-
现有规则：编辑规则的设置，然后转到操作选项卡。在选项卡中，单击“响应操作”部分下的Osquery 图标。
如果规则的调查指南正在使用 Osquery 查询，系统会询问您是否要将查询添加为 Osquery 响应操作。单击添加，将调查指南的查询添加到规则的 Osquery 响应操作中。
-
指定您要设置单个实时查询还是一个包
-
查询：选择已保存的查询或输入新的查询。输入查询后，您可以展开高级部分，为查询设置超时时间，并查看或设置实时查询结果中包含的映射的 ECS 字段（可选）。
覆盖查询的默认超时时间允许您支持运行时间较长的查询。超时字段的默认值和最小支持值为
60。最大支持值为900。您可以使用占位符字段，将警报数据动态添加到您的查询中。
-
包：从可用的查询包中选择。选择一个包后，将显示该包中的所有查询。
请参阅预构建包，了解有关使用和管理 Elastic 预构建包的信息。
-
- 单击Osquery 图标以添加更多实时查询（可选）。
- 单击创建并启用规则（对于新规则）或保存更改（对于现有规则）以完成添加查询。
编辑 Osquery 响应操作
编辑如果您想为 Osquery 响应操作选择不同的查询或查询包，请编辑规则以更新响应操作。
如果您编辑了 Osquery 响应操作正在使用的已保存查询或查询包，则必须在相关的 Osquery 响应操作中重新选择已保存的查询或查询包。查询更改不会自动应用于 Osquery 响应操作。
- 编辑规则的设置，然后转到操作选项卡。
- 修改您已添加的 Osquery 响应操作的设置。
- 单击保存更改。
查找查询结果
编辑当规则生成警报时，Osquery 会自动收集主机上的数据。查询结果显示在警报详细信息浮出窗口左侧面板的响应选项卡中。响应结果选项卡旁边的数字表示附加到该规则的查询数量，以及该规则运行的端点响应操作数量。
有关查询结果的更多信息，请参阅检查 Osquery 结果。
