Security Center：標準化規則和標準化欄位

標準化規則來源

標準化規則採用SPL文法將接入原始日誌映射至標準化日誌結構，並設定日誌關鍵字段的對應關係，為後續標準化日誌產生警示提供資料支撐。

建立自訂標準化規則

1. 訪問Security Center控制台-Agentic SOC-管理-接入設定，在頁面左側頂部，選擇需防護資產所在的地區：中國內地或非中國內地。

2. 標準化規則頁簽內，單擊左上方建立自訂規則。參考以下資訊，完成基礎設定。

   配置項名稱	配置項說明
   规则名称	使用者自訂
   廠商	預定義廠商：阿里雲、飛塔、長亭、微軟、深信服、騰訊雲、華為雲、山石網科、鬥象科技，微軟雲等。 使用者自訂廠商：如何建立廠商請參見產品接入。
   產品	自動拉取廠商下所有的產品，例如阿里雲Security Center、飛塔防火牆等，Agentic SOC支援的產品請參見接入設定。
   備忘	可為當前標準化規則增加特徵描述，方便快速尋找及增加可讀性。

3. 在日誌標準化測試頁簽，完成標準化規則接入欄位配置。

   1. 選擇日誌樣本來源：

      • 基於資料來源：

        1. 資料來源：自動同步已有資料來源執行個體。

        2. 日誌樣本：系統預設自動查詢最近7天日誌樣本，同時支援手動選擇時間。

      • 基於手動輸入：在日誌樣本（JSON）編輯器中粘貼原始日誌，支援格式化和驗證操作。

   2. 建立解析方案：

      AI推薦配置方案

      控制台手動喚起安全AI助手，Agentic SOC自動指派日誌標準化 Agent 自主分析日誌樣本，推薦標準化分類、標準化結構和欄位對應關係，並產生 SPL文法。

      1. 在解析測試地區，單擊安全AI助手按鈕，右側彈出AI助手對話面板。

      2. 擷取推薦配置：AI 分析日誌樣本後，在安全AI助手對話方塊內，將返回推薦配置。

         1. 標準化分類和標準化結構：AI 根據日誌內容自動識別日誌類型並推薦分類。

            • 標準化分類：部落格、主機日誌、安全日誌、審計日誌、快照日誌、登入日誌、其他日誌。

            • 標準化結構：

              • 一個標準化分類包含多個標準化結構。

              • 一個標準化結構對應一組標準化欄位和一個資料集（StoreView）。而一個資料集又映射為多個標準化結構。

                說明

                如何查看標準化分類/結構的對應的資料集和標準化欄位，請參見查看標準化欄位和資料集

         2. 映射結果表格：展示每個日誌欄位與標準化欄位的映射關係，標註必填或選填。

            說明

            對於AI未自動匹配的欄位，可通過下拉式功能表手動選擇標準化欄位。

      3. 產生SPL文法：在安全AI助手返回的推薦配置對話內容下方，單擊產生SPL，AI 根據映射結果自動產生 SPL 文法，並附帶映射決策表和合規性自檢結果。

      4. 自動填滿配置表單：在安全AI助手返回的SPL文法對話內容下方，單擊一鍵應用，AI 推薦的標準化分類、標準化結構和 SPL 文法自動填滿到規則編輯表單中。

      手動設定

      • 標準化分類和標準化結構：Agentic SOC預設支援的標準化分類和標準化結構以及對應的欄位說明，請參見查看標準化欄位和資料集。

      • SPL文法：

        • 可以將預定義規則以及已有的自動定義規則作為模板來使用。

          說明

          規則所對應的 SPL文法，可在規則詳情頁查看。

        • 也可參考SPL文法文檔自訂編寫。

   3. 配置擴充欄位和文法類型

      • 擴展欄位接入：

        • 原樣保留：將未被映射至日誌標準化欄位的原始日誌欄位，以原始 Key-Value 形式直接打平儲存到數 集中，不做標準化映射，不會丟失任何資料。適用於需要保留完整原始日誌資訊的情境。

          重要

          選擇原樣保留後，接入的日誌資料量會增加，日誌接入流量相應增大，因此費用也會增加。建議為這些欄位建立索引，以便在接入後快速尋找欄位值。更多說明，請參見管理擴充欄位。

        • 不接入（預設）：不接入未被標準化規則映射的原始日誌欄位。

      • 設定文法類型：

        • 通用文法：配置日誌接入策略時，標準化方式可選擇即時消費或掃描查詢，更多資訊請參見標準化方式對比。

        • 即時消費：配置日誌接入策略時，標準化方式僅支援選擇即時消費。

   4. 解析測試：

      1. 設定完標準化分類和解析文法後，單擊解析。

      2. 在解析結果地區可查看根據日誌樣本，產生的解析結果。

      3. 管理非標準化欄位（可選）：若SPL文法解析結果中，存在未被映射至日誌標準化欄位的欄位，且擴展欄位接入選擇原樣保留，建議將這些欄位添加至標準化結構對應的日誌擴充欄位中。添加後系統將為這些欄位構建專用索引，更多說明，請參見管理擴充欄位。

4. 測試通過後，單擊左下角完成。

管理標準化規則

• 修改標準化規則：單擊目標操作列的編輯按鈕。支援修改規則名稱、備忘、SPL文法，操作配置說明，請參考建立自訂標準化規則。

  說明

  僅自訂規則支援修改。

• 刪除標準化規則：單擊目標操作列的刪除按鈕。

  說明

  • 預定義規則不允許刪除。

  • 已綁定接入策略的標準化規則不可刪除。

查看標準化欄位和資料集

1. 訪問Security Center控制台-Agentic SOC-管理-接入設定，在頁面左側頂部，選擇需防護資產所在的地區：中國內地或非中國內地。

2. 在左側標准字段列表地區，日誌活動分類目錄下的清單項目即為Agentic SOC支援的標準化分類，根節點即為標準化結構。

3. 單擊目標標準化分類（如部落格）左側的展開箭頭，展開該分類下的標準化結構列表（如五元組日誌、DNS類日誌、HTTP日誌）。

4. 單擊具體的標準化結構節點（如API風險日誌），可在右側地區查看以下資訊：

   • 標準化欄位：展示該標準化結構對應的標準化欄位列表，包括欄位名稱、類型、欄位描述、是否必填、範例。

   • 擴充欄位：用於展示使用者自訂欄位。系統將為這些欄位建立專用索引，支援針對特定欄位的快速檢索資料分析，優於傳統的全文檢索搜尋模式。

   • 資料集：展示該標準化結構對應資料集。

管理擴充欄位

當日誌中存在未映射至標準欄位的屬性且需進行分析時，請執行以下配置：

1. 原樣保留：將擴充欄位接入模式設定為原樣保留，將欄位完整接入系統。

2. 構建索引：建議將這些欄位添加至標準化結構對應的日誌擴充欄位中。添加後系統將為這些欄位構建專用索引，支援高效的欄位級精確檢索與分析。相比傳統全文模糊搜尋，該方式能顯著提升查詢速度與準確度。

資料集