规则副驾
用自然语言描述要检测的行为，生成 QRadar Rule Wizard 的规则设计：测试条件、规则响应、回测 AQL、MITRE ATT&CK，并与现网规则查重。规则由分析师在向导中创建。付费功能。
规则副驾把一段检测意图生成为 Rule Wizard 的规则设计。QRadar 的 REST API 不能创建自定义规则，所以产出是给分析师照着配置的设计：按顺序添加的测试条件、规则响应的配置，以及一条在历史数据上验证该逻辑的回测 AQL。网关不创建、不启用任何 QRadar 规则。规则设计跟随界面语言。
生成时，模型的上下文包含 Ariel 的字段、日志源目录、现网相关规则名（用于标出重复）和 Building Block 列表（用于引用已有的 BB: 定义）。
生成规则设计
前提条件
- 专业版或企业版许可，包括试用许可。
步骤
- 在 检测意图 中写明触发条件、时间窗和排除项，例如「同一源 IP 在 5 分钟内对不同账号认证失败至少 5 次，排除漏扫器」。也可以选择一个 示例 作为模板。
- 选择 规则类型：自动、event、flow、common 或 offense。选择自动时，模型按意图选择：事件字段用 event，流量方向和字节数用 flow，两者都需要时用 common，基于已有 Offense 属性时用 offense。
- 选择 生成规则设计。
从 Offense 调查报告选择 转成检测规则 时，检测意图自动带入调查结论。意图不够具体时，页面显示 模型选择拒答，并建议补充触发条件、时间窗与字段。
在 QRadar 中创建规则
步骤
- 在规则设计下方选择 在智能查询里跑回测，在智能查询中查看最近 7 天的命中数和明显误报。
- 在 QRadar 中打开 Offenses > Rules > Actions > New Event Rule（或对应类型的规则），按 Rule Wizard 测试条件（按顺序添加） 逐条添加，参数照填。
- 按 规则响应 配置响应。
- 以 Rule 形式启用，观察一周。误报多时，按 调优建议 添加 Building Block 或参考集白名单。
选择 查看在 QRadar 配置的步骤 可以在页面上看到同样的步骤。复制测试条件 和 复制 JSON 用于把内容带到向导或工单中。
Offense 索引字段 决定同一攻击是否合并为一个 Offense。选错会把同一攻击拆成多个 Offense，或把不同攻击合并到一起。
回测 AQL 只能验证这些条件在历史事件上的命中，不能验证 Rule Wizard 的计数窗口和函数测试的实际行为。上线前在向导中执行一次测试。
保存到规则库
选择 存为规则，规则设计存入团队规则库，全队可见。页面上的 已生成规则 列出库中的设计，可以加载回填或删除。
规则设计的内容
| 区块 | 内容 |
|---|---|
| 置信度 | 模型对设计是否准确覆盖意图的自评 |
| 标签 | 规则类型、MITRE ATT&CK 技术编号和战术 |
| Rule Wizard 测试条件（按顺序添加） | 测试语句，使用向导中的英文原文，例如 when the event(s) were detected by one or more of these log sources，参数已填好 |
| 用到的 Building Block | 引用的现网 BB: 定义，在向导中直接选择 |
| 规则响应 | 动作、Offense 索引字段、Offense 名称、备注、写入参考集，以及 severity、credibility、relevance 三个刻度 |
| 回测 AQL | 一条 SELECT … FROM events 语句，显示该逻辑在历史数据上的命中 |
| 可能的误报 | 会触发规则的正常行为 |
| 调优建议 | 需要添加的 Building Block、参考集白名单、阈值调整 |
| 现网已有的相似规则 | 与现网规则名对照，重复的标出 |