本文讨论如何创建一个规则，使XOps故事不在故事工作台中显示。
概概览
XOps 关联引擎（生产者）分析流量数据以查找潜在威胁或网络降级的匹配项。如果识别到匹配项，则会在故事工作台中生成一个事件，以帮助您理解和分析问题。如果您不希望创建事件，可以配置一个静音事件规则。这减少了误报故事的生成，并帮助您将分析重点放在实际潜在威胁或网络问题上。故事可以为特定或不限的时间范围静音
“静音事件”规则完全支持由以下生产者生成的事件：
使用异常
Cato 终端警报
Microsoft Defender 为云应用
威胁防护
威胁搜寻
账户操作
站点运营
Entra ID 警报
Wiz
SaaS 安全性
Cato网络
Microsoft 端点警报
DSPM 警报
Microsoft 电子邮件安全
预测洞察
Google应用程序
您可以在检测和响应策略><静音事件选项卡中查看完整的生产者列表。对于其他事件类型，您可以根据 有限条件集 创建静音事件规则。
要使某个事件静音，必须具有完全匹配项或包含添加到静音事件规则中的谓词。例如，如果一个规则包含 3 个域名但事件中只有 2 个，则该事件将被静音。如果规则包含 2 个域名，而故事包含 3 个，则不会被静音。默认情况下，静音故事不会被生成；但是，可以通过选择它为一个条件来覆盖此设置。
注意： MDR 客户可以为 站点操作 引擎创建和编辑静音事件规则。如果您希望为其他引擎定义静音事件，请联系 mdr@catonetworks.com。
Prerequisites
需要 XOps 许可证
静音威胁防护和威胁搜寻事件
您可以定义来自受信任资源的流量，然后将其从事件中排除。例如，XOps 事件是为检测潜在的扫描尝试而生成的，但扫描的来源是已知的良性渗透测试。
对于威胁防护和威胁搜寻事件，即使事件被静音，它总是会被创建。静音会在事件中应用静音标志，确保在应用威胁防护或威胁搜寻过滤器时，该事件被排除在报告之外，并从事件工作台中隐藏。默认情况下，根据响应策略，已静音事件不会触发警报。
有两种方法可以为威胁预防和威胁狩猎故事添加静音故事规则：
在检测与响应页面创建规则
从故事工作台中的故事创建一个规则。当您在故事中注意到已知无害的特定流量时，此方法会很有帮助
静音 UEBA 使用异常和事件异常事件
有两种方法可以为使用异常和事件异常故事添加静音故事规则：
在检测与响应页面创建规则
从故事工作台中的故事创建一个规则。当您在故事中注意到已知无害的特定流量时，此方法会很有帮助
以下部分介绍了使用异常和事件异常静音故事规则中可用的有用设置。
了解使用异常事件的静音事件设置
XOps 使用异常引擎识别应用程序中与异常使用相关的异常，并在检测到异常时生成故事。静音故事策略允许您通过指定应用程序或应用程序类别为XOps引擎排除来配置使用异常故事规则。例如，如果您知道某个特定用户由于工作需求在 OneDrive 上上传了异常大量的数据，请创建一个配置了特定 用户 作为 来源 和 OneDrive 作为 应用程序 的规则。
使用异常故事可能涉及多个应用程序。在这种情况下，配置的 应用程序 是指故事中的顶级应用程序。例如，如果您将 应用程序 配置为 OneDrive，这意味着如果使用异常故事中的顶级应用程序是 OneDrive，则 XOps 引擎不会生成该故事。但是，如果顶级应用程序是其他应用程序，例如 Dropbox，并且 OneDrive 的使用量是第二高的，则仍会生成故事。
了解事件异常事件的静音事件设置
XOps 事件异常引擎检测到涉及网络中实体触发大量异常安全事件的异常，并在检测到异常时生成故事。静音故事策略允许您通过指定要排除的事件类型为XOps引擎配置事件异常故事规则。然后，您可以进一步指定仅排除由特定规则或 IPS 威胁生成的事件。
例如，如果用户在执行已知无害活动时生成了大量 WAN 防火墙事件，请创建一个配置了 用户 作为 来源，并将 事件异常度量 配置为 事件类型 的 WAN 防火墙 的规则。然后指定 WAN 防火墙规则库中的规则。
静音 站点运维事件
您可以使由特定网络问题生成的故事静音。例如，如果您知道本地 ISP 计划停机，可以将站点关闭指示生成的故事静音以覆盖停机期间。
对于站点运维事件，即使在静音情况下也始终创建一个事件。静音会为事件应用静音标志，确保在应用网络运维筛选器时将其排除在报告之外并从事件工作台隐藏。根据响应策略，静音事件默认不会触发警报。仅针对 ILMM 客户，当站点未上线到服务时，这些事件类型默认静音：
站点下线
链路下线
ALT WAN 链路下线
质量 SLA
您可以在故事的事件时间轴的静音列中识别出一个故事是否已被静音。
您可以通过在检测与响应页面创建一个规则为站点运维事件添加静音事件规则。
静音其他事件类型
您可以静音在上述部分未描述的其他 XOps 事件类型。这包括由通用事件生成器生成的事件，例如基于 Cyera 和 Sentra 集成的事件，以及使用其他连接器进行第三方集成生成的事件，如 Microsoft Defender for Endpoint 连接器。
对于这些事件类型，静音事件规则仅支持生产者和指示ID字段作为匹配条件。这让您可以静音来自特定生产者的事件，或静音为特定指示生成的事件。其他规则条件不支持。
检测和响应静音故事规则中的项目
下表解释了可以用于定义检测和响应静音故事规则设置的项目。当您在一个设置中配置多个对象时，它们之间是或关系。例如，如果规则配置了包括站点和用户的来源，当流量与站点或用户匹配时，规则适用。
条目 | 描述 |
|---|---|
生成者 | 规则适用于的检测和响应引擎或引擎。有关这些引擎及其检测的事件类型的更多信息，请参阅使用指示目录。 |
指示 ID | 用于检测和响应引擎的指示标识符。每个指示 ID都与检测和响应引擎查询相关联，该查询识别特定的流量参数。 如果您定义了一个指示 ID，则规则仅排除由与该指示 ID相关联的特定引擎查询生成的流量。 如果未定义指示 ID，则排除匹配规则设置的所有引擎查询中的流量。 关于指示的更多信息，请参阅使用指示目录。 |
方向 （威胁防护、威胁搜寻、使用异常和异常事件故事） | 定义规则适用的流量流动方向。方向包括：
|
时间框架 | 选择规则适用的时间框架，或选择 无限 以使规则继续适用而不失效。 设置到期日期：
设置到期日期是保持有效安全态势的推荐最佳实践。 |
源 | DNS 策略的流量来源。 您可以选择以下一种或多种 来源 类型：
|
设备 （威胁防护、威胁搜寻、使用异常和异常事件故事） | 规则适用的设备类型，由操作系统定义。 |
目标 （威胁防护、威胁搜寻、使用异常和异常事件故事） | DNS 策略的流量目的地。 您可以选择以下一种或多种目标类型：
有关这些对象的定义，请参阅规则对象参考。 |
事件异常指标 （事件异常故事） | 选择要静音的事件类型。选择事件类型后，您可以指定一个规则名称或威胁名称。 您可以选择以下事件类型之一：
|
除上述设置外，还为每条静音故事规则显示以下信息：
作者 - 创建该规则的用户的用户名。
创建时间 - 规则的创建日期。
显示检测和响应静音故事规则库
要显示检测和响应静音故事规则库：
从导航菜单中，点击主页 > 检测 & 响应策略。
在检测和响应页面中创建静音故事规则
添加新的静音故事规则并配置检测和响应引擎需忽略的流量定义。
要创建检测和响应静音故事规则：
从导航菜单中，点击主页 > 检测 & 响应策略。
选择静音故事选项卡。
单击 新建。添加到静音故事面板打开。
配置如上所述的规则设置。
单击 保存。该规则被添加到静音故事规则库。
从一个故事中创建静音故事规则
在故事工作台中查看故事详细信息，并使用故事操作面板创建静音故事规则。
以下规则设置基于故事数据自动填写：
方向
来源
如果故事包含多种类型的数据来源，它们都会被添加到来源设置中。例如，如果故事为来源识别了 IP 和 站点，那么在规则的 来源 部分中都会自动填充 IP 和 站点。
目标 - 根据故事目标自动填充
如果故事识别了多个目标，它们都会被添加到目标设置中
要从一个故事中创建静音故事规则：
从导航菜单中，单击主页 > 事件仪表板。
点击故事以打开该故事的详细页面。
点击
以打开 故事操作 面板。点击添加到新静音故事。添加到新静音故事规则面板打开。
配置如上所述的规则设置。
单击 保存。该规则被添加到静音故事规则库。
要显示检测和响应静音故事规则库，请从导航菜单中点击首页>检测和响应策略。