› ›

事件过滤器

事件过滤器编辑

事件过滤器允许您过滤掉您不想存储在 Elasticsearch 中的端点事件，例如高流量事件。通过创建事件过滤器，您可以优化 Elasticsearch 中的存储空间。

事件过滤器不会降低主机上的 CPU 使用率；Elastic Endpoint 仍然会监控事件以检测和防止可能的威胁，但不会将事件数据写入 Elasticsearch。要比较事件过滤器和其他端点工件，请参阅 优化 Elastic Defend.

由于事件过滤器会阻止事件流式传输到 Elasticsearch，因此请注意您设置的事件过滤器条件和任何现有的规则条件。如果重叠过多，则规则可能比指定的时间运行得更少，因此不会触发该规则的相应警报。这是事件过滤器的预期行为。

默认情况下，事件过滤器在运行 Elastic Defend 的所有主机上全局识别。如果您有白金或企业订阅，您还可以将事件过滤器分配给特定的 Elastic Defend 集成策略，这将过滤来自分配到该策略的主机的端点事件。

从“主机”页面或“事件过滤器”页面创建事件过滤器。

执行以下操作之一
- 要从“主机”页面创建事件过滤器
  1. 转到浏览 → 主机.
  2. 选择事件选项卡以查看事件表。
  3. 找到要过滤的事件，单击 更多操作 菜单 (…)，然后选择 添加端点事件过滤器.
    
    由于您只能为端点事件创建过滤器，因此请确保过滤事件表以显示由 Elastic Endpoint 生成的事件。
    例如，在 KQL 搜索栏中，输入以下查询以查找端点网络事件： event.dataset : endpoint.events.network.
- 要从“事件过滤器”页面创建事件过滤器
  1. 转到管理 → 事件过滤器.
  2. 单击 添加事件过滤器。 添加事件过滤器 侧边栏将打开。
在 详细信息 部分中填写以下字段
1. 名称：输入事件过滤器的名称。
2. 描述：输入过滤器描述（可选）。
在条件部分中，根据您使用哪个页面创建过滤器，修改预填充的条件或添加新条件以定义 Elastic Security 将如何过滤事件。使用以下设置
1. 选择操作系统：选择适当的操作系统。
2. 字段：选择一个字段来识别要过滤的事件。
3. 运算符：选择一个运算符来定义条件。可用选项是
  - 是
  - 不是
  - 是其中之一
  - 不是其中之一
  - 匹配 | 不匹配：允许您在 值 中使用通配符，例如 C:\path\*\app.exe。可用的通配符是 ?（匹配一个字符）和 *（匹配零个或多个字符）。
    
    在文件路径中使用通配符可能会影响性能。要使用通配符创建更高效的事件过滤器，请使用多个条件并使其尽可能具体。例如，使用 process.name 或 file.name 添加条件可以帮助限制通配符匹配的范围。
4. 值：输入与 字段 关联的值。要输入多个值（使用 是其中之一 或 不是其中之一 时），输入每个值，然后按回车.
要定义多个条件，请单击 AND 按钮并配置一个新的条件。您还可以使用 添加嵌套条件 按钮添加嵌套条件。例如，上面的事件过滤器排除了 event.category 字段为 network 且 process.executable 字段为指定的事件。
在分配部分中选择一个选项，将事件过滤器分配给特定的集成策略
- 全局：将事件过滤器分配给 Elastic Defend 的所有集成策略。
- 按策略（仅白金或企业订阅）：将事件过滤器分配给一个或多个特定的 Elastic Defend 集成策略。选择您希望在其中过滤事件的每个策略。
  
  您也可以在不立即将策略分配给事件过滤器的的情况下选择 按策略 选项。例如，您可以执行此操作以创建和查看事件过滤器配置，然后再将它们与策略一起使用。
如果您想提供有关事件过滤器的更多信息，请添加注释（可选）。
单击 添加事件过滤器。新过滤器将添加到 事件过滤器 列表中。