向 Microsoft Sentinel 自动化规则添加高级条件

本文介绍如何将高级“Or”条件添加到 Microsoft Sentinel 中的自动化规则，以便更有效地对事件进行会审。

在自动化规则的“条件”部分，以条件组的形式添加“Or”条件。

条件组可以包含两个级别的条件：

可以看到，此功能可以让你自主且灵活地决定何时运行规则。它还可以通过将许多旧的自动化规则组合成一个新规则来大大提高效率。

添加条件组

条件组在创建自动化规则方面的功能要强大得多，并且极具灵活性，因此若要说明如何实现这一点，最佳方式是提供一些示例。

让我们创建一项规则，该规则会将传入事件的严重性从任意级别更改为“高”，前提是它满足我们将设置的条件。

屏幕截图显示如何创建新自动化规则而不添加条件。

在第一个示例中，我们将创建一个简单的条件组：如果条件 A 或条件 B 为 true，则运行规则，并将事件的严重性设置为“高”。

选择“+ 添加”扩展器，然后从下拉列表中选择“条件组 (Or)。
可以看到显示了两组用 OR 运算符分隔的条件字段。以下是上述“A”条件和“B”条件：如果 A 或 B 为 true，则运行规则。
（不要被所有这些不同层的“添加”链接搞混淆 - 这些都会在后面进行解释。）
让我们确定这些条件是什么。也就是说，哪两种不同的情况会导致事件严重性更改为“高”？我们提供以下建议:
- 如果事件的关联 MITRE ATT&CK 策略包括从下拉列表中选择的四个策略中的任何一个（请参阅下图），则严重性应提高到“高”。
- 如果事件包含名为“SUPER_SECURE_STATION”的主机名实体，则应将严重性提高到“高”。
只要这些条件中至少有一个为 true，我们在规则中定义的操作就会运行，就会将事件的严重性更改为“高”。

假设我们不是有一个超敏感工作站，而是有两个，我们希望将其事件的严重性设置为高。我们可以将另一个值添加到现有条件（任何基于实体属性的条件），方法是选择现有值右侧的骰子图标并添加下面的新值。

屏幕截图显示如何将更多值添加到单个条件。

假设我们希望在三个（或更多个）条件之一为 true 的情况下运行此规则。如果 A 或 B 或 C 为 true，则运行规则。

现在，我们可以更复杂一点。我们希望将更多条件添加到原始 OR 条件的每一侧。也就是说，我们希望在 A 和 B 为 true 或者 C 和 D 为 true 的情况下运行规则。

若要将条件添加到 OR 条件组的一侧，请选择直接位于现有条件下方且位于你要向其添加新条件的 OR 运算符同侧的“+ 添加”链接（在同一个蓝色阴影区域中）。

你将看到在现有条件下添加的新行（位于同一蓝色阴影区域），由 AND 运算符链接到该行。
按照完成其他条件的方式填充此条件的参数和值。
重复前面的两个步骤，将 AND 条件添加到 OR 条件组的任意一侧。