Add a custom alert rule

Data Explorer ermöglicht es Ihnen, Abfragen zu speichern, um diese später erneut auszuführen. Mit bestimmten Data Explorer-Lizenzen können Sie auch Einstellungen für benutzerdefinierte Warnmeldungen für eine gespeicherte Abfrage konfigurieren. Wenn Einstellungen für benutzerdefinierte Warnmeldungen für eine gespeicherte Abfrage konfiguriert werden, wird jedes Mal eine benutzerdefinierte Warnmeldung generiert, wenn die Abfrage wie geplant ausgeführt wird.

Note: Benutzerdefinierte Warnmeldungen gelten ausschließlich als nicht kritische Ereignisse für Self-Service-Reporting. Wenn Sie eine benutzerdefinierte Warnmeldungsregel konfigurieren, werden die Ergebnisse jeder Abfrageausführung nur an Mitglieder der ausgewählten Empfängergruppe gesendet. Diese Ereignisse werden nicht zum Arctic Wolf® Security Operations Center zur Überprüfung oder Alarmierung eingereicht.

Before you begin

  • Configuring custom alert settings requires a valid license.

    For more information, see Data Explorer Lizenzoptionen.

  • Maximal 50 benutzerdefinierte Warnmeldungsregeln können gleichzeitig aktiviert sein. Wenn Sie dieses Limit erreicht haben, sollten Sie eine benutzerdefinierte Warnmeldungsregel deaktivieren. For more information, see Enable or disable a custom alert rule.

Steps

  1. Run an analyzed log search.
  2. Click Save New Query.
  3. In the Title field, enter a name for the query.
    If you choose to configure custom alert settings for this query, the custom alert will have the same name.
  4. Optional: In the Description (Optional) field, enter a short description of the query.
  5. Select a privacy setting:
    • Not Restricted — Makes the query visible to everyone in your organization.
    • Restricted — Restricts access to only primary and secondary contacts in your organization.
    The option that you select only determines if other users can view the saved query in Data Explorer. The custom alert rule that you configure will be visible to everyone. Also, when this query runs, the custom alerts that are generated will be visible to everyone.
  6. Configure custom alert settings:
    1. Click the Enable Custom Alert toggle to the on position.
    2. In the Select Notification field, configure who receives the custom alert:
      • To create a recipient group — Click Create Recipient Group, enter a name for the group, and then add recipients to the To field. If desired, add recipients to the CC field. Then, click Create.
      • To select an existing recipient group — In the Select Notification field, select a group.
      After selecting a recipient group, a list of group members displays.
    3. In the Notification Frequency field, select how often you want to generate a custom alert.
  7. Click Save.
    A new rule is added to the Custom Alert Rules tab of the Alert Configuration Rules page.