› › ›

创建异常项

编辑

创建异常项编辑

创建一个异常项并将其与指定的异常容器关联。

有关从列表创建异常项的信息（例如 IP 地址或主机名列表），请参阅 列表 API。

在创建异常项之前，您必须创建异常容器。

端点规则异常项无法使用列表（entries 数组中的 list），并且以下字段不能在异常查询中使用（作为 entries 对象中的 field 值）

file.Ext.quarantine_path
file.Ext.quarantine_result
process.entity_id
process.parent.entity_id
process.ancestry

请求 URL编辑

POST <kibana 主机>:<端口>/api/exception_lists/items

请求正文编辑

包含以下字段的 JSON 对象

名称	类型	描述	必需
`comments`	comments[]	`comment` 字段的数组 `comment`（字符串）：有关异常项的注释。	否，默认为空数组。
`description`	字符串	描述异常项。	是
`entries`	entries[]	包含异常查询的数组。布尔 `AND` 逻辑用于评估数组元素之间的关系。如果您想使用 `OR` 逻辑，请创建单独的异常项。	是
`expire_time`	字符串	异常项的到期日期，以 ISO 格式表示。此字段仅适用于常规异常项，不适用于端点异常。	否
`list_id`	字符串	关联的异常容器的 ID。	是
`item_id`	字符串	异常项的唯一标识符。	否，在未提供时自动创建。
`meta`	对象	异常项元数据的占位符。	否
`name`	字符串	异常项的名称。	是
`namespace_type`	字符串	确定异常项是在所有 Kibana 空间中可用还是仅在其创建的空间中可用，其中 `single`：仅在其创建的 Kibana 空间中可用。 `agnostic`：在所有 Kibana 空间中可用。必须与其关联的异常容器具有相同的值。	否，默认为 `single`。
`tags`	String[]	包含单词和短语的字符串数组，以帮助对异常项进行分类。	否
`type`	字符串	异常查询类型，必须为 `simple`。	是
`_tags`	String[]	仅适用于端点规则，定义在其中实现异常的操作系统。有效值为 `os:windows`：Windows 操作系统 `os:linux`：Linux 操作系统 `os:macos`：Mac OS 该数组还必须包含一个 `endpoint` 元素（要在 Linux 主机上实现异常，请使用：`["endpoint", "os:linux"]`）。	对于端点异常，是。对于检测异常，否。

`entries` 架构编辑

名称	类型	描述	必需
`field`	字符串	用于定义异常的源事件字段。不能是空字符串。	是
`list`	list	包含列表容器的 `id` 和 `type` 的对象。仅适用于检测异常项。	否，除了使用列表定义检测异常时。
`operator`	字符串	用于确定何时使用异常的操作符。可以是 `included`：`field` 具有指定的价值或价值。 `excluded`：`field` 没有指定的价值或价值。	是
`type`	字符串	查询的 `type` `match`：必须与定义的值完全匹配。 `match_any`：匹配任何定义的值。 `exists`：该字段存在。 `list`：该字段与列表容器中的值匹配。 `wildcard`：使用通配符匹配 `value`，例如 `C:\path\\app.exe`。使用 `?` 匹配一个字符，使用 `` 匹配零个或多个字符。`field` 数据类型必须是关键字、文本或通配符。 `nested`：`entries` 对象的数组。嵌套条件是排除某些端点字段所需的条件（请参阅下面的示例）。具有嵌套条件的异常列出了所有需要 `nested` 类型的端点字段。	是
`value`	字符串 String[]	字段值或值字符串：当 `type` 为 `match` 或 `wildcard` 时。 String[]：当 `type` 为 `match_any` 时。	是，除了 `type` 为 `exists` 或 `list` 时。

当您使用列表容器（"type": "list"）时，您不能在 entries 数组中使用其他类型（match、match_any、exists 或 nested）。

对于端点异常，您不能创建基于排除值的异常项（"operator": "excluded"）。

示例请求编辑

示例 1

将 maintenance-job 进程添加到 trusted-linux-processes 异常容器

POST api/exception_lists/items
{
  "description": "Excludes the weekly maintenance job",
  "entries": [
    {
      "field": "process.name",
      "operator": "included",
      "type": "match",
      "value": "maintenance-job"
    }
  ],
  "list_id": "trusted-linux-processes",
  "name": "Linux maintenance job",
  "namespace_type": "single",
  "tags": [
    "in-house processes",
    "linux"
  ],
  "type": "simple"
}

示例 2

将允许运行 maintenance 进程的主机添加到 allowed-processes 异常容器

POST api/exception_lists/items
{
  "comments": [
    {"comment": "Allows maintenance process to run on the specified machines"}
  ],
  "description": "Process allowlist",
  "entries": [
    {
      "field": "process.name",
      "operator": "included",
      "type": "match",
      "value": "maintenance"
    },
    { 
      "field": "host.name",
      "operator": "included",
      "type": "match_any",
      "value": [
        "liv-win-anf",
        "livw-win-mel",
        "linux-anfield"
      ]
    }
  ],
  "list_id": "allowed-processes",
  "item_id": "allow-process-on-machines",
  "name": "Host-process exclusions",
  "namespace_type": "single",
  "tags": [
    "hosts",
    "processes"
  ],
  "type": "simple"
}

多个数组元素使用 AND 运算符进行评估。

示例 3

为具有指定 SHA-1 哈希值的 Windows 操作系统上的文件创建端点异常项

POST api/exception_lists/items
{
  "_tags": [
    "endpoint", 
    "os:windows" 
  ],
  "comments": [
  ]
  "description": "File exception for Windows",
  "entries": [
    {
      "field": "file.hash.sha1",
      "operator": "included",
      "type": "match",
      "value": "27fb21cf5db95ffca43b234affa99becc4023b9d"
    }
  ],
  "item_id": "trusted-windows-file",
  "list_id": "endpoint-exception-container",
  "name": "Trusted Windows file",
  "namespace_type": "agnostic", 
  "tags": [
  ]
  "type": "simple"
}

	表示此项用于端点规则。
	相关操作系统。
	可从所有 Kibana 空间访问的项。

示例 4

将 external-ip-excludes 列表容器作为异常项关联到 trusted-IPs 异常容器

POST api/exception_lists/items
{
  "description": "Uses the external-ip-container list to exclude trusted external IPs.",
  "entries": [
    {
      "field": "destination.ip",
      "list": {
        "id": "external-ip-excludes", 
        "type": "ip"
      },
      "operator": "included",
      "type": "list"
    }
  ],
  "list_id": "trusted-IPs", 
  "item_id": "external-IPs",
  "name": "Trusted external IPs",
  "namespace_type": "single",
  "tags": [
    "network",
    "trusted IPs"
  ],
  "type": "simple"
}

	包含 IP 地址列表项的列表容器。
	异常容器的 ID。

示例 5

添加嵌套端点字段的异常

POST api/exception_lists/items
{
  "description": "Excludes all processes signed by Trusted Signer, Inc.",
  "entries": [
    {
      "field": "process.Ext.code_signature",
      "type": "nested",
      "entries": [
        {
          "field": "trusted",
          "type": "match",
          "operator": "included",
          "value": "true"
        },
        {
          "field": "subject_name",
          "type": "match",
          "operator": "included",
          "value": "Trusted Signer, Inc."
        }
      ]
    }
  ],
  "list_id": "trusted-self-signed-processes",
  "name": "In-house processes",
  "namespace_type": "single",
  "tags": [
    "in-house processes",
    "linux"
  ],
  "type": "simple"
}

响应代码编辑

200: 表示成功调用。

响应有效负载编辑

{
  "_tags": [],
  "comments": [
    {
      "comment": "Allows maintenance process to run on the specified machines",
      "created_at": "2020-07-14T08:36:33.172Z",
      "created_by": "elastic",
      "id": "f6c61b4d-31dd-4a5d-8c73-f64787d03b4d"
    }
  ],
  "created_at": "2020-07-14T08:36:33.172Z",
  "created_by": "elastic",
  "description": "Process allowlist",
  "entries": [
    {
      "field": "process.name",
      "operator": "included",
      "type": "match",
      "value": "maintenance"
    },
    {
      "field": "host.name",
      "operator": "included",
      "type": "match_any",
      "value": [
        "liv-win-anf",
        "livw-win-mel",
        "linux-anfield"
      ]
    }
  ],
  "id": "1f4d38b0-c5ad-11ea-a3d8-a5b753aeeb9e",
  "item_id": "allow-process-on-machines",
  "list_id": "allowed-processes",
  "name": "Host-process exclusions",
  "namespace_type": "single",
  "tags": [
    "hosts",
    "processes"
  ],
  "tie_breaker_id": "bb04f1c7-2537-47c1-aaca-40a7c8f771d3",
  "type": "simple",
  "updated_at": "2020-07-14T08:36:33.339Z",
  "updated_by": "elastic"
}

« 创建异常容器创建共享异常列表 »