告警
告警
告警
告警是通过规则引擎计算阈值范围内的数据并生成告警事件，可以进行复杂的关联分析，定制各种复杂的分析场景。
鼠标移动至平台左侧导航栏__系统菜单，点击分析模块下告警__，可以进入告警管理页面。
图 89告警入口
新增规则
在__告警__页面，鼠标点击新建规则所属【告警分类】，并点击页面【添加规则】按钮。
图 90告警页面
图 91新增规则
页面跳转至新增规则配置页面。
图 92告警配置页面
规则配置支持实时（CEP）与计划（搜索语句）两种方式建立告警规则，规则配置项说明如下：
基础信息
- __告警规则名称：__新建告警规则名称ID
- __描述：__告警监控规则描述类信息
- 数据源：告警类型选择实时时需配置，选择数据采集任务名
告警类型
- 计划：根据语句分析结果，计划时间范围进行数据检测，以SPL语句编写方式进行规则配置，根据需求可日常数据分析。
图 119计划规则配置
- 实时：选择数据源，根据制定规则以滑动时间窗口进行数据监控，以字段点选方式进行规则配置，可多种情况的事件关联分析。
图 120实时规则配置
时间设置
- 时间范围：告警类型选择实时时需配置，实时监控滚动窗口
条件设置
- 条件设置：告警类型选择实时时需配置，添加别名，匹配规则条件
计划配置
- 搜索：告警类型选择计划时需配置，编辑SPL分析语句
- 时间范围：告警类型选择计划时需配置，日志或数据查询的时间范围
- 计划运行时间：告警类型选择计划时需配置，计划任务运行的时间点活频率
- 阈值：告警类型选择计划时需配置，告警结果数触发的阈值
- 触发：告警类型选择计划时需配置，总计触发一次，还是按照SPL语句运行结果，每个结果触发一次
配置
- __风险等级：__告警的严重等级
- __处置人：__告警触发后由谁来接单处置
- __紧急程度：__告警处置的紧急程度
- __攻击阶段：__告警监控场景所处的攻击链阶段
- __攻击类型：__告警监控的场景所使用的攻击类型
- __自定义字段：__在告警结果中新增自定义字段，可做告警区分和说明
告警抑制
- 启用、抑制时间、抑制字段：按字段取值分组，抑制时间内同一组不再重复告警（详见下节“告警抑制”）
告警通知
- __告警推送方式：__支持声音、短信、邮件方式推送告警信息
动作
- __告警动作：__支持添加到活动列表、从活动列表删除、执行脚本、生成工单、Webhook配置等方式
图 93告警动作
在__搜索__页面分析结果的基础上，可根据规则实际情况进行内容填写，可增加包括风险等级、处置人、事件紧急程度、攻击阶段、攻击类型、自定义字段。
根据需求，填写上述配置项后，鼠标点击【保存】按钮，完成新增规则操作。
告警抑制
告警抑制用于避免同一类重复告警在短时间内反复产生。开启【启用】后，需设置【抑制时间】和【抑制字段】。系统按抑制字段的取值分组：同一组在抑制时间内再次命中时，不再重复告出。
同IP字段抑制示例（抑制字段选择 src_ip）：
-
在告警规则配置页打开【告警抑制】，将【启用】开关打开。
-
设置【抑制时间】，例如 10 分钟。
-
在【抑制字段】中选择或输入 src_ip（同一源IP）。
-
保存并启动规则。
效果说明：规则首次因源IP=10.1.20.1 产生告警后，在随后的 10 分钟内，即使同一规则再次命中该源IP，也不会再告同一个IP的警；其他源IP（如 10.1.20.2）不受影响，仍可正常告警。抑制到期后，该IP再次命中时会重新产生告警。
也可按业务需要选择 dst_ip、device_ip、event_name 等字段，或组合多个抑制字段（多字段同时相同时才视为同一组）。
图 告警抑制配置（抑制字段示例：src_ip）
启动规则
在__告警__页面，窗口定位至需要启动的规则，鼠标点击规则列表操作栏【启动】按钮，完成规则的启动操作。
图 94启动规则
停止规则
在__告警__页面，窗口定位至需要停止的规则，鼠标点击规则列表操作栏【停止】按钮，完成规则的停止操作。
图 95停止规则
删除规则
在__告警__页面，窗口定位至需要删除的规则，鼠标点击规则列表操作栏【删除】按钮，完成规则的删除操作。删除规则前，请确保规则是未启动状态。
图 96删除规则
编辑规则
在__告警__页面，窗口定位至需要编辑的规则，鼠标点击规则列表操作栏【编辑】按钮，页面弹出规则编辑模态框，编辑规则操作页面与新增规则页面一致，参考新增规则即可。
查询规则
可根据规则名称，规则ID在__告警__页面进行规则搜索。鼠标点击搜索文本框，填写规则名称，完成查询规则操作。
图 97搜索规则
使用示例
使用场景：需要配置一条按相同源 IP（src_ip）抑制重复告警的计划规则。
进入【告警规则】，选择分类后点击【添加规则】。
填写规则名称与检索条件，配置风险等级和处置人。
启用【告警抑制】，抑制字段选择 src_ip，设置抑制时间后点击【保存】并启动。