调整警报 Elastic SIEM（自定义规则）

【问题标题】：Tuning alert Elastic SIEM (custom rule)调整警报 Elastic SIEM（自定义规则）
【发布时间】：2021-08-11 08:41:08
【问题描述】：

我在 Elastic SIEM 中有一个针对 http 状态代码 404 的自定义规则，我想为此警报添加一个例外，因为它会生成许多误报。有谁知道如何调整此警报？

【问题讨论】：

【解决方案1】：

这取决于您的日志信息。

我要说的第一步是确定 FP 的最大共享属性是什么。例如，如果您只对来自公共 IP 范围的 404 感兴趣，我建议使用私有 cidr 范围在 source.ip 上添加一个例外。

【讨论】：