向 Microsoft Sentinel 自动化规则添加高级条件

重要

注意：根据世纪互联发布的公告，所有 Microsoft Sentinel 功能将于 2026 年 8 月 18 日 在 Azure 中国区正式停用。

本文介绍如何将高级“Or”条件添加到 Microsoft Sentinel 中的自动化规则，以便更有效地对事件进行会审。

在自动化规则的“条件”部分，以条件组的形式添加“Or”条件。

条件组可以包含两个级别的条件：

简单条件：至少两个 OR 条件，每个条件由运算符分隔：
- A OR B
- B OROR C （示例 1B：添加更多 OR 条件）。
- 等等。
复合条件：两个以上的条件，运算符至少一侧至少有两个 OR 条件：
- (A and B) OR C
- (A and B) OR (C and D)
- (A and B) OR (C and D and E)
- (A and B) OR (C and D) OR (E and F)
- 等等。

通过 OR 逻辑使用条件组，可让你在确定何时运行规则方面具有强大的能力和灵活性。它还可以通过将许多旧的自动化规则组合成一个新规则来大大提高效率。

添加条件组

由于条件组在创建自动化规则方面提供了更多的强大功能和灵活性，因此介绍如何向自动化规则添加条件组的最佳方式是演示一些示例。

让我们创建一项规则，该规则会将传入事件的严重性从任意级别更改为“高”，前提是它满足我们将设置的条件。

创建新自动化规则而不添加条件的屏幕截图。

在第一个示例中，我们将创建一个简单的条件组：如果条件 A 或条件 B 为 true，则运行规则，并将事件的严重性设置为“高”。

选择展开项 + 添加，然后从下拉列表中选择条件组（或）。
可以看到显示了两组用 OR 运算符分隔的条件字段。这些条件为 A 和 B，表示简单 OR 条件组的两侧：如果 A 或 B 为 true，则规则将运行。
（不要被所有这些不同层的“添加”链接搞混淆 - 这些都会在后面进行解释。）
让我们确定这些条件是什么。也就是说，哪两种不同的情况会导致事件严重性更改为“高”？我们提供以下建议:
- 如果事件的关联 MITRE ATT&CK 策略包括从下拉列表中选择的四个策略中的任何一个（请参阅下图），则严重性应提高到“高”。
- 如果事件包含名为“SUPER_SECURE_STATION”的主机名实体，则应将严重性提升为“高”。
只要这些条件中至少有一个为真，我们在规则中定义的操作就会执行，并将事件严重性更改为“高”。

假设我们拥有的不是一台，而是两台超敏感工作站，并且我们希望将这些工作站的事件严重级别设为高。我们可以将另一个值添加到现有条件（任何基于实体属性的条件），方法是选择现有值右侧的骰子图标并添加下面的新值。

向单个条件添加更多值的屏幕截图。

假设我们希望在三个（或更多个）条件之一为 true 的情况下运行此规则。如果 A 或 B 或 C 为 true，该规则将运行。

在此示例中，我们将多个条件添加到 OR 条件组的每一侧，从而创建复合逻辑。目的是让该规则在 A 和 B 为真时运行，或者在 C 和 D 为真时运行。

若要将条件添加到 OR 条件组的一侧，请选择直接位于现有条件下方且位于你要向其添加新条件的运算符同侧的“+ 添加”链接（在同一个蓝色阴影区域中）。

你会看到在现有条件下方新增了一行（位于同一蓝色阴影区域内），并通过 AND 运算符与其相连。
按照之前在组中添加的条件的方式填充此条件的参数和值。
在 OR 条件组的任一端，选择现有条件下面的 +添加 链接以添加新行，然后输入新条件的参数和值。

就是这样！你可以利用此处学到的知识来添加更多条件和条件组，使用 AND 和 OR 运算符的不同组合来创建功能强大、灵活且高效的自动化规则，使之真正有助于 SOC 顺利运行，缩短响应时间和解决问题的时间。

有关自动化规则和相关功能的详细信息，请参阅以下资源：