Security Center：標準化規則及資料集說明

前提條件

已購買並開通威脅分析與響應服務，具體操作請參見購買並開通威脅分析與響應。

建立自訂標準化規則

1. 登入Security Center控制台。

2. 在左側導覽列，選擇威脅分析與響應 > 接入中心。在控制台左上方，選擇需防護資產所在的地區：中國或全球（不含中國）。標準化規則頁簽內，單擊左上方创建自定义规则。

3. 您可參考以下資訊，完成基本配置。

   配置項名稱	配置項說明
   规则名称	使用者自訂
   廠商	預定義廠商：阿里雲、飛塔、長亭、微軟、深信服、騰訊雲、華為雲、山石網科、鬥象科技，微軟雲等。 使用者自訂廠商：如何建立廠商請參見步驟一：新增產品。
   產品	自動拉取廠商下所有的產品，例如阿里雲Security Center、飛塔防火牆等，CTDR支援的產品請參見支援接入的產品和日誌。
   标准化分类/结构	標準化分類：部落格、主機日誌、安全日誌、審計日誌、快照日誌、登入日誌、其他日誌。 標準化結構： 一個標準化分類包含多個標準化結構。 一個標準化結構對應一組標準化欄位和一個資料集（StoreView）。而一個資料集又映射為多個標準化結構。 說明 如何查看標準化分類/結構的對應的資料集和標準化欄位，請參見資料集說明。
   備忘	可為當前標準化規則增加特徵描述，方便快速尋找及增加可讀性。

4. 設定SPL文法並進行日誌標準化測試。

   1. 選擇資料來源：請選擇自訂規則需要分析的資料來源。

   2. 填寫SPL文法。

      您可以將預定義規則以及已有的自動定義規則作為模板來使用。這些規則所對應的 SPL文法，您可在詳情頁查看。

      

      也可參考SPL文法文檔自訂編寫。

   3. 進行標準化測試。

      警告

      若當前資料來源無資料，SPL文法將無法解析日誌並返回結果，從而導致無法選擇測試資料，標準化測試無法完成。

      點擊按鈕，並選擇一個測試資料，單擊解析并测试。

      

5. 測試通過後，單擊左下角完成。

修改標準化規則

1. 登入Security Center控制台。

2. 在左側導覽列，選擇威脅分析與響應 > 接入中心。在控制台左上方，選擇需防護資產所在的地區：中國或全球（不含中國）。

3. 找到需要修改的規則，單擊操作列的編輯按鈕。

4. 在編輯頁修改相關內容。支援修改的配置項如下：

   • 基本設定：規則名稱、備忘。

   • SPL文法：修改完SPL文法，仍需要進行日誌標準化測試規則，具體操作可參考設定SPL文法並進行日誌標準化測試。

刪除標準化規則

1. 登入Security Center控制台。

2. 在左側導覽列，選擇威脅分析與響應 > 接入中心。在控制台左上方，選擇需防護資產所在的地區：中國或全球（不含中國）。

3. 找到需要刪除的規則，單擊操作列的刪除按鈕。

標準化規則和資料集對應關係說明

標準化規則需要配置标准化分类/结构，每一個標準化分類包含多種標準化結構，每一種結構對應一個儲存資料集（StoreView）和一組標準化欄位。而一個資料集（StoreView）又映射到多個標準化結構。對應關係可參考下圖：

對產品接入的影響

產品接入時CTDR根據SPL文法按照資料集中對應資料標準欄位對產品日誌進行解析，再匹配威脅檢測規則，最終識別出安全風險。此外資料集還會對接入策略有如下配置限制：

若資料集（StoreView）已經綁定了5個掃描查詢模式的接入策略，則新增策略的標準化方式只允許“即時消費”不支援“掃描查詢“，標準化方式說明請參見標準化接入方式說明。

查看資料集

常用的資料集如下表：

若您想查看更多資料集資訊，可參考以下步驟。

1. 登入Security Center控制台。

2. 在左側導覽列，選擇威脅分析與響應 > 接入中心。在控制台左上方，選擇需防護資產所在的地區：中國或全球（不含中國）。標準化規則頁簽內，單擊左上方查看標准欄位。

   

3. 標準化欄位列表，左側日誌活動分類清單項目即為CTDR支援的標準化分類，列表根節點即為標準化結構。在右側可查看資料集（StoreView）名稱及標準化欄位列表。