ESET Inspect – 目录

阈值规则示例

阈值规则定义

支持规则

1.规则 PB000（记事本）

2.规则 PB001（命令）

上面的规则示例中需要注意的事项：

此阈值规则在给定间隔内满足特定条件时触发事件。

触发说明：

1.阈值计数和间隔：

o如果在 900 秒内发生 3 次检测，则会触发阈值规则（创建事件）。

2.检测

o进程部分指定受监视的进程：notepad.exe 和 cmd.exe。

o在此示例中，进程部分是可选的，因为特定规则（PB000 和 PB001）已经定义了被监视的进程。

o操作部分根据规则名称（PB000 和 PB001）指定条件。

3.AggregateOn（可选）：

o在此示例中，aggregateOn设置为 ParentProcess。由于所有类型的聚合都意味着计算机聚合，因此检测必须在同一台具有相同 ParentProcess 的计算机上进行。

4.Cardinality（可选）：

oCardinality 指定检测必须至少来自两条不同的规则（ruleName 的值为 2）。

5.操作:

o唯一支持的操作是 ReportIncident。所有其他参数（aggregateOn 和 aggregationParameter）都将被忽略，不应在阈值规则中使用。

o如果不执行此操作，阈值规则将不会创建事件。

示例方案:

•1 次 PB000 检测和 2 次 PB001 检测。

•2 次 PB000 检测和 1 次 PB001 检测。

•3 次 PB000 检测和 10 次 PB001 检测。

•满足条件的其他组合：

o总检测计数必须为 3 次或更多次。

o必须至少触发 2 条不同的规则。