Règles de détection - Security Center - Centre de documentation Alibaba Cloud

Accédez à la page Console Security Center > Agentic SOC > Manage > Detection Rules. Dans le coin supérieur gauche, sélectionnez la région où se trouvent vos ressources : Chinese Mainland ou Agentic SOC.

Dans l'onglet Alert, cliquez sur Create Rule dans la colonne Actions du modèle cible. Vous pouvez également accéder à l'onglet Agentic SOC et cliquer sur Alert.

Important

La création de règles à partir de modèles est plus simple et plus efficace.

Dans le panneau Create Custom Rule, sous l'onglet Basic Information, saisissez un nom et une description pour la règle, puis cliquez sur Next.

Sous l'onglet Alert Settings, configurez la génération des alertes.

Vous pouvez consulter les alertes générées sous Custom Alert Analysis dans la page Log Ingestion Traffic > Alert. Les options de configuration disponibles et leurs valeurs varient selon le corps de règle configuré. Les sections suivantes fournissent les détails :

Syntaxe SQL

Cette méthode utilise SQL pour effectuer une analyse corrélative, telle que le filtrage, la correspondance de caractéristiques et les statistiques basées sur des fenêtres, sur les journaux dans la portée spécifiée afin de détecter les alertes et de générer des événements.

Corps de la règle

Paramètre		Description
Predefined		La valeur par défaut est SQL.
Custom		Sélectionnez la portée des journaux à analyser par la règle. Vous devez spécifier la catégorie et la structure normalisées pour les journaux. Vous pouvez sélectionner plusieurs structures de journal normalisées. Cliquez sur le lien Agentic SOC (Log Storage Capacity) pour afficher les descriptions des champs de journal pour la structure de journal normalisée actuelle.
Predefined		L'instruction SQL interroge les enregistrements d'événements spécifiés pour identifier les comportements malveillants potentiels. Pour plus d'informations sur la configuration d'une instruction de requête SQL, consultez les rubriques suivantes : Pour plus d'informations sur la syntaxe SQL, consultez Syntaxe et fonctions d'analyse SQL.

Paramètres de planification

Lorsque vous activez une règle personnalisée basée sur SQL, Agentic SOC crée une tâche SQL planifiée correspondante dans Log Service (SLS) en fonction des Custom. SLS génère ensuite plusieurs instances d'exécution en fonction de l'intervalle de planification. Pour plus de détails, consultez Gérer les tâches SQL planifiées et Interroger les données des tâches SQL planifiées.

Paramètres de planification

Paramètre	Description
Scan Query	Définissez la fréquence d'exécution des requêtes SQL. Les méthodes suivantes sont prises en charge : Log Management : La valeur doit être comprise entre 5 minutes et 24 heures. Cron : La précision minimale est la minute et le format est sur 24 heures. Exemples : `0/5` : Exécute toutes les 5 minutes, en commençant à la minute 0. `0 0/1 ` : Exécute toutes les heures, à partir de 00:00. `0 18 ` : Exécute quotidiennement à 18:00. `0 0 1` : Exécute à 00:00 le premier jour de chaque mois.
Chinese Mainland	Spécifiez la plage horaire des journaux à interroger pour chaque instance SQL planifiée. La valeur doit être comprise entre 5 minutes et 24 heures. Important La fenêtre temporelle SQL doit être supérieure ou égale à l'intervalle de planification.
Outside Chinese Mainland	L'heure à laquelle les instances SQL planifiées commencent à s'exécuter après l'activation de la règle. Les méthodes suivantes sont prises en charge : Predefined : Le moment où la règle est activée. Specified Time : Une heure spécifique que vous définissez, précise à la minute près.

Paramètres d'exécution

Heure de planification de la tâche : Déterminée par Start Time et Scheduling Interval. Cette heure n'est pas affectée par les délais d'expiration, les retards ou les remplissages rétroactifs de l'instance précédente.

Par exemple, si l'heure de début de la règle est le 16 mai 2025 à 10:58:45 et que l'intervalle de planification est de 5 minutes, les heures planifiées sont le 16 mai 2025 à 10:58:45, le 16 mai 2025 à 11:03:45, le 16 mai 2025 à 11:08:45, et ainsi de suite.
Heure d'exécution de la tâche : L'heure réelle à laquelle une tâche SQL planifiée commence à s'exécuter. Si une tâche est relancée, il s'agit de l'heure de la dernière tentative.

Remarque
Une tâche SQL planifiée peut expirer, être retardée ou faire l'objet d'un remplissage rétroactif. Cela peut entraîner une différence entre l'heure d'exécution de la tâche et l'heure de planification de la tâche.
Plage temporelle de la requête SQL : La plage temporelle pour l'analyse SQL, déterminée par l'Heure de planification de la tâche et SQL Time Window. Elle est indépendante de l'heure réelle d'exécution de la tâche. La plage est calculée comme suit : [Heure planifiée arrondie à la minute inférieure - Fenêtre temporelle SQL, Heure planifiée arrondie à la minute inférieure).

Par exemple, l'heure de début de la règle est le 16 mai 2025 à 10:58:45, l'intervalle de planification est de 5 minutes et la fenêtre temporelle SQL est de 5 minutes.

La plage de requête SQL pour la première tâche planifiée est la suivante :
- Heure de planification : 2025-05-16 10:58:45
- Plage temporelle de la requête : [2025-05-16 10:53:00, 2025-05-16 10:58:00)
La plage de requête SQL pour la deuxième tâche planifiée est la suivante :
- Heure de planification : 2025-05-16 11:03:45
- Plage temporelle de la requête : [2025-05-16 10:58:00, 2025-05-16 11:03:00)

Génération des journaux d'alerte

Agentic SOC génère des journaux d'alerte en fonction des paramètres Alert Log Generation. Vous pouvez consulter ces journaux dans la page Agentic SOC > Log Management.

Définition des attributs d'alerte

Generating Structure: Sélectionnez la catégorie de journal pour l'alerte, telle que Endpoint Detection & Response ou pare-feu.

Remarque
Cliquez sur View Standard Fields dans la liste déroulante pour afficher les détails des champs pour le type de journal.
Alert Type: Définissez le type spécifique d'alerte que la règle actuelle détecte.
Alert Level:
- Objectif : Définit le niveau de risque de l'alerte.
- Valeurs valides : Information, Low, Medium, High et Critical.
ATT&CK Phase
- Objectif : Associe le comportement d'attaque détecté par la règle aux phases et techniques d'attaque correspondantes.
- Configuration :
  - Cliquez sur + Add Attack Phase pour mapper plusieurs phases d'attaque.
  - Au sein de chaque phase d'attaque, vous pouvez sélectionner plusieurs techniques d'attaque.
- Limite : Vous pouvez sélectionner un maximum de 5 techniques d'attaque sur toutes les phases.

Entity Mapping

Convertit les champs non structurés dans les résultats de requête, tels que les adresses IP ou les noms de fichiers, en objets entité structurés. Ce processus permet au système d'agréger toutes les activités liées à une entité, de construire un profil de menace et d'améliorer l'efficacité de l'analyse.

Procédure

Sélectionner un type d'entité
- Dans la liste déroulante, sélectionnez le type d'entité à mapper, tel qu'un hôte, un fichier, une adresse IP ou un processus.
- Cliquez sur Add Entity Mapping pour configurer plusieurs types d'entités.
Mapper les propriétés de l'entité
- Configurez les propriétés pour chaque entité. Les propriétés se divisent en deux catégories :
  - Propriétés obligatoires : L'identifiant unique de l'entité. Par exemple, la propriété obligatoire pour une entité d'adresse IP est l'adresse elle-même.
  - Propriétés facultatives : Informations supplémentaires pour l'entité. Par exemple, vous pouvez associer un nom d'hôte à une entité d'adresse IP en tant que propriété facultative.
- Cliquez sur Add Entity Attribute Mapping pour définir plusieurs propriétés pour une entité.
Définir les valeurs des propriétés
- Attribuez une valeur à chaque propriété sélectionnée.
- Format : Deux formats sont pris en charge :
  - Référence de variable : $field_name$ (Fait référence à un champ des résultats de la requête).
  - Constante : Une valeur de chaîne fixe que vous saisissez directement.

Exemple :

Sélectionnez le type d'enrichissement Network address.
is_malware (entité malveillante) : défini sur 1.
ip (obligatoire) : défini sur $src_ip$ .
net_connect_dir (direction de la requête) : défini sur in.

Chinese Mainland

Vous pouvez générer dynamiquement des noms et des descriptions d'alerte en référençant les champs de requête en tant que variables.

Outside Chinese Mainland :
- Longueur et format : La longueur maximale est de 50 caractères.
- Format de référence : $SQL_query_returned_field$ .
- Par défaut (si laissé vide) : Le Rule Template est utilisé.
- Exemple : Attaque réseau multi-type à haute fréquence détectée depuis $src_ip$.
Description de l'alerte :
- Longueur : La longueur maximale est de 1 000 caractères.
- Format de référence de variable : $SQL_query_returned_field$ .
- Par défaut (si laissé vide) : La Rule Description est utilisée.
- Exemple : Alerte provenant de : $product_code$, attaque réseau depuis $src_ips$ détectée, les ressources affectées incluent : $dst_ips$.

Important

Si le contenu final généré après substitution des variables dépasse la limite de longueur, la partie excédentaire est automatiquement tronquée.

Suppression des alertes

Les paramètres Custom limitent le nombre d'alertes de sécurité générées, mais n'affectent pas la génération ou la distribution des journaux d'alerte.

Agentic SOC regroupe les alertes en fonction de toutes les combinaisons possibles des valeurs des champs de condition de suppression. Un maximum de 100 alertes de sécurité peut être généré pour chaque groupe au sein d'une fenêtre de suppression. Les enregistrements correspondants qui dépassent ce plafond sont supprimés.

Paramètre	Description
Create Custom Rule	Le paramètre Suppression Window définit la fenêtre temporelle pour le comptage des alertes. La fenêtre de suppression commence lorsque la règle génère le premier journal d'alerte. La valeur doit être comprise entre 5 minutes et 24 heures. Remarque Supposons qu'une règle génère son premier journal d'alerte le 16 mai 2025 à 10:58:45 et que la fenêtre de suppression soit définie sur 10 minutes. La première fenêtre de suppression s'étend de 10:58:45 à 11:08:45, la seconde de 11:08:45 à 11:18:45, et ainsi de suite.
Suppression Condition	Saisissez le nom de colonne ou l'alias défini dans la clause `SELECT` de l'instruction SQL. Si cela n'est pas configuré, le système utilise par défaut le champ `rule_id` de la règle d'analyse personnalisée comme condition de suppression. Agentic SOC regroupe les alertes en fonction de toutes les combinaisons possibles des valeurs des champs de condition de suppression. Par exemple, si vous avez deux champs, `a` et `b`, comme conditions de suppression, où l'ensemble de valeurs de `a` est {1,2} et celui de `b` est {3,4}, un total de quatre combinaisons est créé : {1,3}, {1,4}, {2,3} et {2,4}. Chaque combinaison constitue un groupe. Un maximum de 100 alertes de sécurité peut être généré pour chaque groupe au sein de la fenêtre de suppression. Important La condition de suppression est facultative. Si vous ne configurez pas de condition de suppression, un maximum de 100 alertes de sécurité peut être généré par la règle sur l'ensemble de la fenêtre de suppression.

Playbook

Cette méthode appelle les API des produits cloud et utilise un playbook pour évaluer les conditions de détection des alertes et de génération d'événements. Elle est généralement utilisée pour les avertissements relatifs à l'état métier.

Remarque

Si une règle est créée à partir d'un modèle de règle (basé sur un playbook), un playbook personnalisé correspondant est automatiquement créé. Vous pouvez le consulter dans l'onglet Custom Playbooks de la page Agentic SOC > Response Rules.

Corps de la règle

Paramètre		Description
Rule Body		Sélectionnez Agentic SOC.
Alert		Si vous créez une règle à partir d'un modèle de règle (basé sur un playbook), vous pouvez modifier le nom du playbook, mais il doit être unique. Si vous créez une règle en cliquant sur Create Custom Rule dans l'onglet Log Scope, sélectionnez un playbook dans la liste déroulante. Important Seuls les playbooks qui remplissent toutes les conditions suivantes apparaissent dans la liste déroulante : Le type de playbook est personnalisé. Le statut du playbook est publié. Le type de paramètre d'entrée du nœud de démarrage du playbook doit être Custom. Le playbook n'est associé à aucune autre règle d'analyse et de détection.
Standard Fields		Si vous créez la règle à partir d'un modèle de règle (basé sur un playbook), vous pouvez modifier la description. Si vous créez la règle en cliquant sur SQL Statement dans l'onglet Scheduling Settings, la description du playbook cible issue de l'orchestration de réponse est automatiquement récupérée et ne peut pas être modifiée.

Paramètres

Vous devez configurer les paramètres uniquement lorsque vous créez une règle à partir d'un modèle de règle (basé sur un playbook). Différents playbooks nécessitent différents paramètres. Vous pouvez cliquer sur l'icône à côté d'un paramètre pour afficher sa définition et les instructions de configuration.

Autorisation

Vous devez configurer l'autorisation uniquement lorsque vous créez une règle à partir d'un modèle de règle (basé sur un playbook).

Execution Role : Si vous n'avez pas créé de rôle, cliquez sur Create Role in RAM Console. Sur la page d'autorisation rapide RAM, cliquez sur SQL Time Window. Un rôle nommé AliyunSiemSoarExecutionDefaultRole est automatiquement créé.
Remarque
Si vous ne disposez pas des autorisations nécessaires pour créer un rôle, contactez un administrateur RAM (un utilisateur RAM disposant des autorisations de gestion des ressources ou votre compte Alibaba Cloud) pour créer le rôle et attacher une stratégie d'approbation dans la console RAM. Pour plus de détails, consultez Créer un rôle RAM pour un service Alibaba Cloud approuvé. La configuration est la suivante :
- Entité approuvée : Alibaba Cloud Service.
- Service approuvé : cloudsiem.sas.aliyuncs.com.
- Nom du rôle : AliyunSiemSoarExecutionDefaultRole
Access Policy : Le système répertorie les stratégies d'autorisation requises pour exécuter le playbook en fonction du modèle sélectionné. Si une stratégie requise n'est pas attachée, cliquez sur Modify Permission Policy, sélectionnez les stratégies non accordées, puis cliquez sur Authorize in RAM Console. Finalisez l'autorisation sur la page d'autorisation rapide RAM.

Important
Si vous ne disposez pas des autorisations requises, contactez un administrateur RAM (un utilisateur RAM disposant des autorisations de gestion des ressources ou votre compte Alibaba Cloud) pour attacher la stratégie d'autorisation requise au rôle AliyunSiemSoarExecutionDefaultRole. Pour plus de détails, consultez Gérer les autorisations d'un rôle RAM.

Paramètres de planification

Pour une règle personnalisée dont le corps est un playbook, une fois la règle activée, Agentic SOC crée une tâche de playbook planifiée en fonction des paramètres définis dans Scheduling Settings.

Remarque

En cas d'échec d'une tâche planifiée, le système effectue une nouvelle tentative après 30 secondes. Si cette nouvelle tentative échoue également, la tâche est arrêtée et attend le prochain cycle planifié.
Vous pouvez consulter les historiques d'exécution des playbooks sur la page de détails du playbook personnalisé, dans le module Response Rules.

Paramètre

Description

Scheduling Interval

Définissez l'intervalle de temps auquel le playbook est exécuté. Les méthodes suivantes sont prises en charge :

Fixed Interval : La valeur doit être comprise entre 5 minutes et 24 heures.
Cron : La précision minimale est la minute et le format est sur 24 heures. Exemples :
- 0/5 : Exécution toutes les 5 minutes, à partir de la minute 0.
- 0 0/1 * : Exécution toutes les heures, à partir de 00:00.
- 0 18 * : Exécution quotidienne à 18:00.
- 0 0 1 : Exécution à 00:00 le premier jour de chaque mois.

Start Time

L'heure à laquelle le playbook commence à s'exécuter après l'activation de la règle. Les méthodes suivantes sont prises en charge :

Rule Enabled At : Au moment où la règle est activée.
Specified Time : Une heure spécifique que vous définissez, précise à la minute près.

Génération de journaux d'alerte

Agentic SOC génère des journaux d'alerte en fonction des paramètres définis dans Alert Log Generation. Vous pouvez consulter ces journaux sur la page Agentic SOC > Log Management.

Generating Structure : Seule la structure Other Alert Logs est prise en charge.

Remarque
Cliquez sur View Standard Fields dans la liste déroulante pour afficher les détails des champs pour ce type de journal.

Alert Enrichment : Définissez le type spécifique d'alerte détecté par la règle actuelle.
Alert Name :
- Objectif : Définit le niveau de risque de l'alerte.
- Valeurs valides : Information, Low, Medium, High et Critical.
Rule Name
- Objectif : Associe le comportement d'attaque détecté par la règle aux phases et techniques d'attaque correspondantes.
- Configuration :
  - Cliquez sur + Add Attack Phase pour mapper plusieurs phases d'attaque.
  - Au sein de chaque phase d'attaque, vous pouvez sélectionner plusieurs techniques d'attaque.
- Limite : Vous pouvez sélectionner un maximum de 5 techniques d'attaque sur l'ensemble des phases.

Suppression d'alertes

Les paramètres définis dans Alert Suppression limitent le nombre d'alertes de sécurité générées, mais n'affectent ni la génération ni la distribution des journaux d'alerte.

Agentic SOC regroupe les alertes en fonction de toutes les combinaisons possibles des valeurs des champs de condition de suppression. Un maximum de 100 alertes de sécurité peut être généré pour chaque groupe au cours d'une fenêtre de suppression. Les enregistrements correspondants dépassant cette limite sont supprimés.

Paramètre	Description
Suppression Window	Le paramètre Suppression Window définit la fenêtre temporelle de comptage des alertes. La fenêtre de suppression commence lorsque la règle génère le premier journal d'alerte. La valeur doit être comprise entre 5 minutes et 24 heures. Remarque Supposons qu'une règle génère son premier journal d'alerte le 16 mai 2025 à 10:58:45 et que la fenêtre de suppression soit définie sur 10 minutes. La première fenêtre de suppression s'étend de 10:58:45 à 11:08:45, la seconde de 11:08:45 à 11:18:45, et ainsi de suite.
Suppression Window	Les options de la liste déroulante proviennent des champs de journal standardisés correspondant au journal d'alerte sélectionné pour le paramètre Generating Structure dans les paramètres Alert Log Generation. Remarque Sur l'onglet Standardized Rule de la page Rule Body > Playbook, cliquez sur Playbook Name pour afficher les détails des champs du journal cible. Agentic SOC regroupe les alertes en fonction de toutes les combinaisons possibles des valeurs des champs de condition de suppression. Par exemple, si vous disposez de deux champs, `a` et `b`, comme conditions de suppression, où l'ensemble de valeurs de `a` est {1,2} et celui de `b` est {3,4}, un total de quatre combinaisons est créé : {1,3}, {1,4}, {2,3} et {2,4}. Chaque combinaison constitue un groupe. Un maximum de 100 alertes de sécurité peut être généré pour chaque groupe au cours de la fenêtre de suppression. Important La condition de suppression est facultative. Si vous ne configurez aucune condition de suppression, un maximum de 100 alertes de sécurité peut être généré par la règle pendant toute la durée de la fenêtre de suppression.

Dans l'onglet Event Generation Settings, configurez la manière dont les incidents de sécurité sont générés.

Vous pouvez consulter et gérer les incidents générés sur la page Custom > Playbook Description.

Paramètre	Description
Create Custom Rule	Spécifiez s'il faut générer un incident de sécurité lorsqu'une alerte correspond à la règle.
Custom	Relais d'alerte : Génère un incident de sécurité pour chaque alerte créée par la règle actuelle. Agrégation par type : Agrège toutes les alertes générées par la règle actuelle en un seul incident de sécurité.
Aggregation Window	Vous devez configurer la taille de la fenêtre uniquement pour le scénario Same-Type Aggregation. La valeur doit être comprise entre 5 minutes et 24 heures. Par exemple, si la fenêtre d'agrégation est définie sur 5 minutes, toutes les alertes de sécurité générées au cours de cette période de 5 minutes sont agrégées en un seul incident de sécurité.

Activer la règle personnalisée : Une règle nouvellement créée est Confirm Authorization par défaut. Vous pouvez modifier son statut dans la colonne Status de la liste des règles personnalisées.

Remarque

Nous vous recommandons de tester la règle personnalisée avant de l'activer.

Agentic SOC utilise des règles de détection prédéfinies pour analyser les alertes et les journaux ingérés, reconstituer les chaînes d'attaque et les chronologies, et générer des alertes agrégées ainsi que des événements de sécurité détaillés. Vous pouvez également créer des règles de détection personnalisées pour mettre en place un système de détection des menaces adapté à votre activité.

Présentation

La fonctionnalité de gestion des règles d'Agentic SOC analyse les journaux standardisés ou exécute des playbooks intégrés pour générer des alertes d'analyse agrégées et des alertes d'analyse personnalisées. Elle crée ensuite des incidents de sécurité à partir de ces alertes en utilisant des méthodes telles que le calcul graphique, le relais d'alerte et l'agrégation par type, afin de vous aider à répondre aux menaces. La gestion des règles prend en charge les corps de règle suivants pour générer des alertes et des incidents de sécurité :

Syntaxe SQL : Utilise des requêtes SQL pour effectuer une analyse corrélée des journaux dans une portée spécifiée. Cela inclut le filtrage des journaux, la mise en correspondance de modèles et l'exécution de statistiques basées sur des fenêtres pour détecter les alertes et générer des incidents de sécurité.
Playbook : Appelle les API des services cloud et suit un flux de travail prédéfini pour détecter les alertes et générer des incidents de sécurité. Cette méthode est généralement utilisée pour les avertissements relatifs à l'état métier.

Types de règles

Type de règle

Description

Prédéfinie

Les règles prédéfinies offrent une détection des menaces prête à l'emploi. Elles analysent les journaux qui ont été ingérés dans Agentic SOC et qui entrent dans le champ d'application de la règle. Lorsqu'une règle correspond, l'alerte de sécurité résultante s'affiche dans l'onglet Aggregate and Analyze Alerts de la page Agentic SOC > Alert. Les règles prédéfinies utilisent le calcul graphique pour agréger les alertes partageant le même actif ou IOC en un incident de sécurité. Ce processus d'agrégation s'applique à toutes les alertes, à l'exception des alertes d'analyse personnalisées.

Personnalisée

Les règles personnalisées vous permettent de définir votre propre logique de détection. Pour vous aider à démarrer, Agentic SOC fournit des modèles de règles pour des scénarios complexes de détection des menaces. Vous pouvez créer des règles personnalisées basées sur la syntaxe SQL ou un playbook.

Les alertes de sécurité générées à partir de règles personnalisées s'affichent dans l'onglet Custom Alert Analysis de la page Scheduling Settings > Alert. Les règles personnalisées génèrent des incidents de sécurité en utilisant soit le relais d'alerte, soit l'agrégation par type.

Méthodes de génération d'incidents

Calcul graphique : Agrège les alertes partageant le même actif ou IOC en un seul incident de sécurité. Cette méthode s'applique à toutes les alertes, à l'exception des alertes d'analyse personnalisées.
Relais d'alerte : Génère un incident de sécurité pour chaque alerte issue d'une règle d'analyse.
Agrégation par type : Agrège toutes les alertes issues de la même règle d'analyse en un seul incident de sécurité.

Disponibilité

Lorsque vous activez le service Agentic SOC, le modèle de facturation et les éléments de facturation que vous sélectionnez déterminent les fonctionnalités de gestion des règles disponibles. Pour plus de détails, consultez Achat et activation d'Agentic SOC.

Abonnement :
- Achat uniquement du trafic d'ingestion de journaux Log Ingestion Traffic : Règles Predefined et règles Custom, qui prennent uniquement en charge les journaux standardisés à l'aide de « Scan Query ».
  
  Remarque
  Si vous achetez également la fonctionnalité Log Management en paiement à l'utilisation, toutes les règles personnalisées sont prises en charge.
- Achat du trafic d'ingestion de journaux Alert Log Generation et de la capacité de stockage des journaux Agentic SOC Agentic SOC (Log Storage Capacity) : Règles Log Management et règles Generating Structure.
- Achat uniquement de la capacité de stockage des journaux Agentic SOC Agentic SOC (Log Storage Capacity) : Non pris en charge.
Paiement à l'utilisation : Règles View Standard Fields et règles Alert Type, qui prennent uniquement en charge les journaux standardisés à l'aide de « Alert Level ».

Remarque
Si vous achetez également la fonctionnalité ATT&CK Phase en paiement à l'utilisation, toutes les règles personnalisées sont prises en charge.

Flux de travail

Activer ou désactiver les règles prédéfinies

Les règles prédéfinies sont activées par défaut. Vous pouvez activer, désactiver ou afficher les détails des règles prédéfinies. Vous ne pouvez pas modifier ni supprimer les règles prédéfinies.

Accédez à la page Agentic SOC > Management > Detection Rules dans la console Security Center. Dans le coin supérieur gauche, sélectionnez la région où se trouvent vos actifs : Alert Suppression ou Suppression Window.
Dans l'onglet Suppression Window, recherchez la règle prédéfinie souhaitée. Dans la colonne Actions, cliquez sur Details pour afficher ses informations de base, ainsi que les paramètres de génération d'alertes et d'incidents.
Pour activer ou désactiver une règle, cliquez sur le commutateur Rule Status:.

Remarque
Vous pouvez également cliquer sur Enable ou Disabled dans la colonne Enabling Status de la liste des règles prédéfinies pour basculer le statut de la règle.

La boîte de dialogue Rule Details contient trois onglets : Basic Information, Alert Settings et Event Generation Settings. Le commutateur Enabling Status se trouve dans l'onglet Basic Information. Le commutateur devient vert une fois la règle activée.
Les alertes générées par les règles prédéfinies correspondantes s'affichent dans l'onglet Aggregate and Analyze Alerts de la page Agentic SOC > Disabled.

Tester une règle personnalisée (facultatif)

Avant d'activer une règle personnalisée, vous pouvez définir son Enabling Status sur Testing et consulter les résultats du test d'alerte pour vérifier la sortie de la règle. Le système utilise une logique intégrée pour calibrer les champs d'alerte, leurs valeurs et les champs standardisés. Vous pouvez examiner les résultats de calibration dans la console et ajuster le code SQL ou le playbook de la règle afin de garantir que les alertes générées répondent aux exigences de calibration.

Remarque

Le test est facultatif. Les résultats de calibration n'empêchent pas l'activation de la règle.
Les alertes générées pendant le test ne s'affichent pas sur la page des alertes de sécurité.

Procédure :

Dans l'onglet Custom, définissez le Enabling Status de la règle cible sur Testing.
Dans la colonne d'actions de la règle cible, cliquez sur View Alert Test Result.
Sur la page des détails des résultats du test, consultez le graphique de tendance des alertes et la liste des alertes. Vous pouvez également cliquer sur Details dans la colonne d'actions d'une alerte pour afficher ses résultats de calibration.

Consulter et gérer les alertes et incidents de sécurité

Une fois qu'une règle de détection des menaces est effective, le système génère des alertes et des incidents de sécurité lorsque les journaux ingérés correspondent à la règle. Vous pouvez les gérer comme décrit ci-dessous :

Sur la page Agentic SOC > Alert, consultez les alertes générées dans les onglets Custom Alert Analysis et Aggregate and Analyze Alerts. Pour plus de détails, consultez alertes de sécurité.
Sur la page Agentic SOC > Event Handling, consultez et gérez les incidents générés. Pour plus de détails, consultez incidents de sécurité.