› ›

关于检测规则

编辑

关于检测规则编辑

规则会定期运行，并搜索满足其条件的源事件、匹配项、序列或机器学习作业异常结果。当满足规则的条件时，就会创建检测警报。

规则类型编辑

您可以创建以下类型的规则

自定义查询：基于查询的规则，它会搜索定义的索引，并在一个或多个文档匹配规则的查询时创建警报。
机器学习：机器学习规则，当机器学习作业发现超过定义阈值的异常时，它会创建警报（请参阅异常检测）。

对于机器学习规则，必须运行关联的机器学习作业。如果机器学习作业未运行，则该规则将
- 如果发现得分高于定义阈值的现有异常结果，则运行并创建警报。
- 发出错误，说明在规则执行时机器学习作业未运行。
阈值：搜索定义的索引，并在单个执行期间指定字段的值出现次数符合阈值时创建检测警报。当多个值符合阈值时，将为每个值生成警报。

例如，如果阈值字段为source.ip，并且其值为10，则会为出现在规则的搜索结果中至少 10 次的每个源 IP 地址生成警报。
事件关联：搜索定义的索引，并在结果匹配事件查询语言 (EQL)查询时创建警报。
指标匹配：当 Elastic 安全索引字段值与指定指标索引模式中定义的字段值匹配时创建警报。例如，您可以为 IP 地址创建一个指标索引，并使用此索引在事件的destination.ip等于索引中的值时创建警报。指标索引字段映射应符合ECS 标准。有关创建 Elasticsearch 索引和字段类型的详细信息，请参阅为某些文档编制索引、创建索引 API和字段数据类型。如果您的指标采用标准文件格式（例如 CSV 或 JSON），您还可以使用机器学习数据可视化工具将您的指标导入指标索引。请参阅在 Kibana 中浏览数据并使用导入数据选项导入您的指标。

您还可以使用值列表作为指标匹配索引。有关更多信息，请参阅本主题末尾的将值列表与指标匹配规则结合使用。
新术语：为在指定时间范围内源文档中检测到的每个新术语生成警报。您还可以检测最多三个新术语的组合（例如，之前从未一起观察到的host.ip和host.id）。
ES|QL：搜索定义的索引，并在结果匹配Elasticsearch 查询语言 (ES|QL)查询时创建警报。

默认情况下，ES|QL 在 Kibana 中处于启用状态。可以使用高级设置中的enableESQL设置将其禁用。这会从各种应用程序中隐藏 ES|QL 用户界面。但是，用户将能够访问现有的 ES|QL 项目，例如保存的搜索和可视化。