重要
注意：根据 世纪互联发布的公告，所有 Microsoft Sentinel 功能将于 2026 年 8 月 18 日 在 Azure 中国区正式停用。
本文介绍如何将高级“Or”条件添加到 Microsoft Sentinel 中的自动化规则，以便更有效地对事件进行会审。
在自动化规则的“条件”部分，以条件组的形式添加“Or”条件。
条件组可以包含两个级别的条件：
简单条件：至少两个
OR条件，每个条件由运算符分隔：-
A
ORB -
A
ORBORC （示例 1B：添加更多 OR 条件） - 等等。
-
A
复合条件：两个以上的条件，运算符至少一侧至少有两个
OR条件：-
(A
andB)ORC - (A
andB)OR(CandD) - (A
andB)OR(CandDandE) - (A
andB)OR(CandD)OR(EandF) - 等等。
-
(A
通过 OR 逻辑使用条件组，可让你在确定何时运行规则方面具有强大的能力和灵活性。 它还能大幅提高效率，因为你可以将许多旧的自动化规则合并成一条新规则。
添加条件组
由于条件组在创建自动化规则方面提供了更多的强大功能和灵活性，因此介绍如何向自动化规则添加条件组的最佳方式是演示一些示例。
让我们创建一项规则，该规则会将传入事件的严重性从任意级别更改为“高”，前提是它满足我们将设置的条件。
转到 Azure 门户，选择“配置”“自动化”页面>。
在“自动化”页中，从顶部的按钮栏选择“创建”“自动化规则”。
有关详细信息，请参阅 有关创建自动化规则的常规说明 。
给规则命名： 分诊：将严重程度改为高。
选择触发器创建事件时。
在条件下，如果您看到事件提供程序和分析规则名称条件，请保留原样。 稍后我们将在此过程中添加更多条件。
在操作下，从下拉列表中选择更改严重级别。
从显示在“更改严重性”下面的下拉列表中选择“高”。
示例 1：简单条件
在第一个示例中，我们将创建一个简单的条件组：如果条件 A 或条件 B 为 true，则运行规则，并将事件的严重性设置为“高”。
选择展开项 + 添加，然后从下拉列表中选择条件组（或）。
可以看到显示了两组用
OR运算符分隔的条件字段。 这两组条件字段分别是条件A和B，代表简单或条件组的两边：如果A或B为真，则规则将运行。
（请不要被所有不同的 添加 链接混淆，每个链接都在以下步骤中解释。
决定这些条件会是什么。 也就是说，哪两种不同的情况会导致事件严重性更改为“高”？ 我们建议以下做法：
如果事件的关联 MITRE ATT&CK 策略包括从下拉列表中选择的四个策略中的任何一个（请参阅下图），则严重性应提高到“高”。
如果事件包含名为“SUPER_SECURE_STATION”的主机名实体，则应将严重性提升为“高”。
只要这些条件中至少有一个为真，我们在规则中定义的操作就会执行，并将事件严重性更改为“高”。
示例 1A：在单个条件中添加 OR 值
假设我们拥有的不是一台，而是两台超敏感工作站，并且我们希望将这些工作站的事件严重级别设为高。 要为实体属性条件添加另一个值，选择当前条件值右侧的骰子图标，然后在其下方输入额外值。
示例 1B：添加更多 OR 条件
假设我们希望在三个（或更多个）条件之一为 true 的情况下运行此规则。 如果 A 或 B 或 C 为 true，该规则将运行。
还记得那些 添加 链接吗？ 若要添加另一个 OR 条件，请选择通过一条线连接到 运算符的
OR。
现在，通过从下拉列表中选择属性、选择比较运算符并输入目标值，为新条件选择字段、运算符和值。
示例 2：添加复合条件
在此示例中，我们将多个条件添加到 OR 条件组的每一侧，从而创建复合逻辑。 目的是让该规则在 A 和 B 为真时运行，或者在 C 和 D 为真时运行。
若要将条件添加到 OR 条件组的一侧，请选择直接位于现有条件下方且位于你要向其添加新条件的 运算符同侧的“+ 添加”链接（在同一个蓝色阴影区域中）。
你会看到在现有条件下方新增了一行（位于同一蓝色阴影区域内），并通过
AND运算符与其相连。
通过从下拉列表中选择属性、算符和值，使用与之前条件相同的方法，填充新条件行的参数和值。
在 OR 条件组的任一端，选择现有条件下面的 +添加 链接以添加新行，然后输入新条件的参数和值。
就是这样！ 你可以利用此处学到的知识来添加更多条件和条件组，使用 AND 和 OR 运算符的不同组合来创建功能强大、灵活且高效的自动化规则，使之真正有助于 SOC 顺利运行，缩短响应时间和解决问题的时间。