createCustomRule: custom rule (өөрийн дүрэм) үүсгэх

Bitdefender-ийн албан ёсны баримтаас орчуулавАнгли эх (EN) · Орчуулсан: 2026.11.10

Энэ хуудсыг AI-аар орчуулж, автоматаар шалгасан. Нарийн тохиргоо хийхээсээ өмнө англи эхтэй тулгаж болно.

Custom rule (өөрийн тодорхойлсон дүрэм) үүсгэх method.

Parameters

`type` — Тайлбар: Үүсгэх дүрмийн төрөл: detection (илрүүлэх) эсвэл exclusion (үл хамаарах); Хүсэлтэд: Заавал биш; Төрөл: Integer; Утгын шаардлага: Боломжит утгууд:

- 1 - Detection
- 2 - Exclusion

Анхдагч утга: 2.

> Чухал: type нь 2 бол subtype параметрийг заавал 0 болгоно.

Жишээ: "type": 1

`subtype` — Тайлбар: Дүрэм YARA дээр суурилсан эсвэл Basic эсэхийг заана; Хүсэлтэд: Заавал биш; Төрөл: Integer; Утгын шаардлага: Боломжит утгууд:

- 0 - Basic
- 1 - YARA

Анхдагч утга: 0.

> Чухал: type нь 2 бол subtype параметрийг заавал 0 болгоно.

Жишээ: "subtype": 1

`name` — Тайлбар: Үүсгэх дүрмийн нэр; Хүсэлтэд: Заавал; Төрөл: String; Утгын шаардлага: Энэ параметр хоосон зайн тэмдэгтээр эхэлж болохгүй, <, >, ', " тэмдэгт агуулж болохгүй бөгөөд 128 тэмдэгтээс урт байж болохгүй. Мөн таны компани дотор давхцаж болохгүй. Жишээ: "name": "Detection Rule via API"
`description` — Тайлбар: Дүрмийн тайлбар; Хүсэлтэд: Заавал биш; Төрөл: String; Утгын шаардлага: Энэ параметр хоосон зайн тэмдэгтээр эхэлж болохгүй, <, >, ', " тэмдэгт агуулж болохгүй бөгөөд 1024 тэмдэгтээс урт байж болохгүй. Жишээ: "description": "Detection Rule via API Description"
`tags` — Тайлбар: Дүрэмтэй холбоотой tag-уудын жагсаалт; Хүсэлтэд: Заавал биш; Төрөл: Array of Strings; Утгын шаардлага: Мөр бүр дараах нөхцөлийг хангана:

- <, >, ', " тэмдэгт агуулахгүй
- Хамгийн багадаа 2, хамгийн ихдээ 128 тэмдэгт байна
- Хоосон зайн тэмдэгтээр эхлэхгүй
- Массив дотор давтагдахгүй

Жишээ: "tags": [ "api", "detection" ]

`settings` — Тайлбар: Дүрэмтэй холбоотой тохиргоо; Хүсэлтэд: Заавал; Төрөл: Object; Утгын шаардлага: Доорх settings хэсгийг үзнэ үү.

Жишээ:

Basic rule: "settings": { "status": 0, "severity": 1, "target": "file", "automaticActions": [ { "type": 1, "enabled": true } ], "criteriaList": [ { "field": "File.Name", "relation": "is", "value": "abcd" } ], "filters": [ { "field": "detection", "value": "test-api" } ] }

YARA rule: "settings": { "status": 1, "severity": 2, "yaraQuery": "rule Demo_Spaced {\n meta:\n author = \"api\"\n description = \"indent test\"\n\n strings:\n $mz = { 4D 5A }\n\n condition:\n $mz\n}", "automaticActions": [ { "type": 5, "enabled": true, "settings": { "type": 2 } } ] }

`returnRuleId` — Тайлбар: Хүсэлт шинээр үүссэн дүрмийн ID-г буцаах эсэхийг заана; Хүсэлтэд: Заавал биш; Төрөл: Boolean; Утгын шаардлага: Боломжит утгууд:

- true - хүсэлт амжилттай болбол шинээр үүссэн дүрмийн ID-г буцаана.
- false - шинээр үүссэн дүрмийн ID-г буцаахгүй, оронд нь Boolean утга буцаана.

Анхдагч утга: false.

Жишээ: "returnRuleId": true

`targets` — Тайлбар: endpointTags-ийг агуулна. Энэ нь custom rule-ийн хамрах endpoint бүрт дор хаяж нэг нь оноогдсон байх ёстой tag-уудын жагсаалт; Хүсэлтэд: Заавал биш; Төрөл: Object; Утгын шаардлага: Доорх targets хэсгийг үзнэ үү.

Жишээ: "targets": { "endpointTags": [ { "tagId": "5b680f6fb1a43d860a7b23c8", "companyId": "61827b8036492c2fc0718722" }, { "tagId": "5b680f6fb1a43d860a7b23c9", "companyId": "61827b8036492c2fc0718722" } ] }

General parameters

Эдгээр нь бүх public API method-д нийтлэг байдаг параметрүүд:

`id` — Тайлбар: Энэ параметр нь хүсэлтэд танигч нэмж, түүнийг харгалзах хариутай холбоно. Target хариундаа ижил утгыг буцаах тул дуудлагыг хялбархан мөрдөх боломжтой; Хүсэлтэд: Заавал; Төрөл: String; Утгын шаардлага: Нэмэлт шаардлагагүй. Жишээ: "id": "ad12cb61-52b3-4209-a87a-93a8530d91cb"
`method` — Тайлбар: Хүсэлт илгээхэд ашиглаж буй method-ийн нэр; Хүсэлтэд: Заавал; Төрөл: String; Утгын шаардлага: Хүчинтэй method-ийн нэр байх ёстой. Жишээ: "method": "methodName"
`jsonrpc` — Тайлбар: Хүсэлт болон хариунд ашигласан JSON-RPC-ийн хувилбар; Хүсэлтэд: Заавал; Төрөл: String; Утгын шаардлага: Зөвхөн 2.0 утга боломжтой. Жишээ: "jsonrpc": "2.0"
`params` — Тайлбар: Хүсэлтийн тохиргоог агуулсан объект; Хүсэлтэд: Заавал; Төрөл: Object; Утгын шаардлага: Нэмэлт шаардлагагүй. Жишээ: "params": {...}

Objects

`settings`

`status` — Тайлбар: Дүрэм идэвхтэй эсэх эсвэл On-access scanning (хандах үеийн шалгалт) идэвхжсэн эсэхийг заана; Хүсэлтэд: Заавал биш; Төрөл: Integer; Утгын шаардлага:

- Basic дүрмийн боломжит утгууд:
- 0 - Дүрэм идэвхгүй.
- 1 - Дүрэм идэвхтэй.
- YARA дүрмийн боломжит утгууд:
- 0 - Дүрмийн хувьд On-access scanning идэвхгүй.
- 1 - Дүрмийн хувьд On-access scanning идэвхтэй.
- YARA болон Basic дүрмийн анхдагч утга: 1.

`severity` — Тайлбар: Үүсэх alert-ийн ноцтой байдлыг заана; Хүсэлтэд: Detection дүрэмд заавал. Exclusion дүрэмд хамаарахгүй; Төрөл: Integer; Утгын шаардлага: Боломжит утгууд:

- 1 - Low
- 2 - Medium
- 3 - High

`target` — Тайлбар: Зорилтот entity-ийн төрлийг заана; Хүсэлтэд: Basic дүрэмд заавал. YARA дүрэмд хамаарахгүй; Төрөл: String; Утгын шаардлага: Custom exclusion болон detection дүрмийн боломжит утгууд:

- process
- file

> Чухал: Дараах лицензийн төрлүүдийн дор хаяж нэг нь шаардлагатай:
> - EDR-тай лиценз
> - Эдгээр sensor-ийн дор хаяж нэгийг өгдөг лиценз:
> - Azure AD sensor
> - Google Cloud Platform sensor
> - Office 365 sensor
> - Google Workspace sensor
> - AWS sensor
- connection

> Чухал: EDR-тай лиценз шаардлагатай.
- registry

> Чухал: EDR-тай лиценз шаардлагатай.
- user connection
- email

> Чухал: Дараах лицензийн төрлүүдийн дор хаяж нэг нь шаардлагатай:
> - EDR-тай лиценз
> - Эдгээр sensor-ийн дор хаяж нэгийг өгдөг лиценз:
> - Azure AD sensor
> - Office 365 sensor
> - Google Workspace sensor
- application

> Чухал: Эдгээр sensor-ийн дор хаяж нэгийг өгдөг лиценз шаардлагатай:
> - Azure AD sensor
> - Office 365 sensor
- key vault

> Чухал: Azure Cloud sensor өгдөг лиценз шаардлагатай.
- role

> Чухал: Эдгээр sensor-ийн дор хаяж нэгийг өгдөг лиценз шаардлагатай:
> - Atlassian Cloud sensor
> - Azure AD sensor
> - Azure Cloud sensor
> - Google Workspace sensor
> - Google Cloud Platform sensor
> - AWS sensor
- policy

> Чухал: Эдгээр sensor-ийн дор хаяж нэгийг өгдөг лиценз шаардлагатай:
> - Azure AD sensor
> - AWS sensor
> - Google Cloud Platform sensor
> - Office 365 sensor
- sharing link

> Чухал: Office 365 sensor өгдөг лиценз шаардлагатай.
- url

> Чухал: Эдгээр sensor-ийн дор хаяж нэгийг өгдөг лиценз шаардлагатай:
> - Office 365 sensor
> - Google Workspace sensor
- ssh key

> Чухал: AWS sensor өгдөг лиценз шаардлагатай.
- launch template

> Чухал: AWS sensor өгдөг лиценз шаардлагатай.
- service principal

> Чухал: Эдгээр sensor-ийн дор хаяж нэгийг өгдөг лиценз шаардлагатай:
> - Google Workspace sensor
> - Google Cloud Platform sensor
> - Azure AD sensor
- user group

> Чухал: Эдгээр sensor-ийн дор хаяж нэгийг өгдөг лиценз шаардлагатай:
> - Azure AD sensor
> - Atlassian Cloud sensor
> - Google Workspace sensor
> - AWS sensor
- automation account

> Чухал: Azure Cloud sensor өгдөг лиценз шаардлагатай.
- automation account hook

> Чухал: Azure Cloud sensor өгдөг лиценз шаардлагатай.
- certificate authority

> Чухал: Эдгээр sensor-ийн дор хаяж нэгийг өгдөг лиценз шаардлагатай:
> - Azure AD sensor
> - AWS sensor
- api
- bucket

> Чухал: AWS sensor өгдөг лиценз шаардлагатай.
- jira project

> Чухал: Atlassian Cloud sensor өгдөг лиценз шаардлагатай.
- confluence page

> Чухал: Atlassian Cloud sensor өгдөг лиценз шаардлагатай.

Зөвхөн custom exclusion дүрэмд боломжит утгууд:
- flow

> Чухал: Office 365 sensor өгдөг лиценз шаардлагатай.
- bitbucket repository

> Чухал: Atlassian Cloud sensor шаардлагатай.

`criteriaList` — Тайлбар: Заасан target-ийн таарах ёстой exclusion эсвэл detection дэд дүрмүүдийг жагсааж дүрмийг тодорхойлно.

> Чухал: Энэ параметр detection field-тэй холбоотой тодорхойлолтыг агуулдаггүй. Тэдгээрийг filters параметрт тохируулна.

Хүсэлтэд: Basic дүрэмд заавал. YARA дүрэмд хамаарахгүй; Төрөл: Array of Objects; Утгын шаардлага: Объект бүр дараах тохиргоог агуулна:
- field (String) - Нөхцөл хамаарах entity-ийн шинж чанар (criterion).
- relation (String) - Нөхцөл биелэхийн тулд field ба value-ийн хооронд байх ёстой харилцаа.
- value - field параметрийн утгыг харьцуулах өөрийн утга.

> Тэмдэглэл: criteriaList объектуудын боломжит утгын талаар Detection and exclusion criteria for Basic rules хуудсыг үзнэ үү.

`filters` — Тайлбар: detection field-тэй холбоотой exclusion эсвэл detection дэд дүрмүүдийг агуулна; Хүсэлтэд: Basic дүрэмд заавал биш. YARA дүрэмд хамаарахгүй; Төрөл: Array of Objects

> Чухал: Нэг дүрэмд зөвхөн нэг detection filter ашиглах боломжтой тул энэ нь нэг объект агуулсан массив байна.

Утгын шаардлага: Массив доторх объект дараах тохиргоог агуулна:
- field (String) - Нөхцөл хамаарах entity-ийн шинж чанар (criterion). filters параметр зөвхөн detection field утгыг хүлээн авна.
- value - detection field (Alert name)-ийн таарах ёстой утга.

> Тэмдэглэл: detection field-ийн талаар Detection and exclusion criteria for Basic rules хуудсыг үзнэ үү.

`yaraQuery` — Тайлбар: YARA дүрмийн query-г тодорхойлно; Хүсэлтэд: YARA дүрэмд заавал. Basic дүрэмд хамаарахгүй; Төрөл: String; Утгын шаардлага: Энэ утга YARA синтаксийн дүрмийг дагах ёстой.

> Зөвлөмж: Дүрмийг баталгаажуулах үед хоосон зай болон догол мөрийг үл хэрэгсэх боловч API хүсэлтэд өгсөн yaraQuery-ийн анхны форматыг хадгалж, GravityZone Control Center-т яг хэвээр нь харуулна. Уншихад хялбар болгохын тулд yaraQuery-д зөв форматласан, догол мөртэй YARA синтакс ашиглахыг зөвлөж байна.

Жишээлбэл, дараах форматласан дүрмийг UI-д харуулахын тулд: rule Demo_Spaced { meta: author = "api" description = "indent test" strings: $mz = { 4D 5A } condition: $mz }

yaraQuery мөр нь дараах байх ёстой: rule Demo_Spaced {\n meta:\n author = \"api\"\n description = \"indent test\"\n\n strings:\n $mz = { 4D 5A }\n\n condition:\n $mz\n}.

`automaticActions` — Тайлбар: Энэ дүрмээс үүссэн EDR incident-д хийх автомат хариу үйлдлүүд болон тэдгээрийн идэвхжсэн эсэхийг заана.

> Чухал:
> - Автомат үйлдэл зөвхөн EDR custom detection дүрэмд боломжтой.
> - Bitdefender EDR захиалга болон GravityZone EDR Cloud лиценз автомат үйлдлийг дэмждэггүй.

Хүсэлтэд: YARA дүрмийг оруулаад EDR detection дүрэмд заавал биш. Exclusion дүрэм болон XDR detection дүрэмд хамаарахгүй; Төрөл: Array of Objects; Утгын шаардлага: Объект бүр дараах тохиргоог агуулна:
- type (Integer) - Дүрэмд оноосон автомат үйлдлийн төрөл.

Боломжит утгууд:
- 1 - Isolate

> Чухал: Basic дүрмийн хувьд энэ type зөвхөн дараах нөхцөлүүдийн нэгд боломжтой:
> - target нь process эсвэл file
> - target нь connection бөгөөд criteriaList нь field-ийнхээ утга дараах утгуудын нэг байх объект агуулсан:
> - Connection.CreatedBy.Name
> - Connection.CreatedBy.Path
> - Connection.CreatedBy.FullPathName
> - Connection.CreatedBy.CommandLine
> - target нь registry бөгөөд criteriaList нь field-ийнхээ утга дараах утгуудын нэг байх объект агуулсан:
> - Registry.CreatedBy.Name
> - Registry.CreatedBy.Path
> - Registry.CreatedBy.FullPathName
> - Registry.CreatedBy.CommandLine
- 2 - Collect investigation package
- 3 - Add to Sandbox
- 4 - Kill process

> Чухал: Basic дүрмийн хувьд энэ type зөвхөн дараах нөхцөлүүдийн нэгд боломжтой:
> - Дүрэм YARA дээр суурилсан
> - Дүрэм Basic бөгөөд дараах нөхцөлүүдийн нэг биелсэн:
> - Connection.CreatedBy.Name
> - Connection.CreatedBy.Path
> - Connection.CreatedBy.FullPathName
> - Connection.CreatedBy.CommandLine
> - target нь registry бөгөөд criteriaList нь field-ийнхээ утга дараах утгуудын нэг байх объект агуулсан:
> - Registry.CreatedBy.Name
> - Registry.CreatedBy.Path
> - Registry.CreatedBy.FullPathName
> - Registry.CreatedBy.CommandLine
> - target нь file бөгөөд criteriaList нь field-ийнхээ утга дараах утгуудын нэг байх объект агуулсан:
> - File.CreatedBy.Name
> - File.CreatedBy.Path
> - File.CreatedBy.FullPathName
> - File.CreatedBy.CommandLine
- 5 - Antimalware scan
- 6 - Quarantine

> Чухал: Basic дүрмийн хувьд энэ type зөвхөн дараах нөхцөлүүдийн нэгд боломжтой:
> - target нь process эсвэл file
> - target нь connection бөгөөд criteriaList нь field-ийнхээ утга дараах утгуудын нэг байх объект агуулсан:
> - Connection.CreatedBy.Name
> - Connection.CreatedBy.Path
> - Connection.CreatedBy.FullPathName
> - Connection.CreatedBy.CommandLine
> - target нь registry бөгөөд criteriaList нь field-ийнхээ утга дараах утгуудын нэг байх объект агуулсан:
> - Registry.CreatedBy.Name
> - Registry.CreatedBy.Path
> - Registry.CreatedBy.FullPathName
> - Registry.CreatedBy.CommandLine
- 7 - Risk scan
- enabled (Boolean) - true үед type-аар заасан үйлдэл энэ дүрмээс үүссэн incident-д идэвхжинэ.
- settings (Object) - Тодорхой үйлдлийн төрлүүдийн автомат үйлдлийг нэмж тохируулах боломж олгоно.

Үйлдлийн төрөл бүрийн field ба боломжит утгууд:
- type нь 4 бөгөөд дүрэм Basic бол:
- includeParent (Boolean) - true бол үйлдэл зорилтот process-ийн parent-д мөн хамаарна.
- includeChildren (Boolean) - true бол үйлдэл зорилтот process-ийн children-д мөн хамаарна.
- type нь 5 бол автомат үйлдэл settings дотор мөн type (Integer) field-тэй бөгөөд дараах утгын нэгийг авна:
- 1 - Quick scan
- 2 - Full scan
- type нь 6 бөгөөд дараах нөхцөлүүдийн нэг биелсэн бол эдгээр field боломжтой:
- includeParent (Boolean) - true бол үйлдэл зорилтот process-ийн parent-д мөн хамаарна.
- includeChildren (Boolean) - true бол үйлдэл зорилтот process-ийн children-д мөн хамаарна.

Нөхцөлүүд:
- Дүрэм YARA дээр суурилсан
- Дүрэм Basic бөгөөд дараах нөхцөлүүдийн нэг биелсэн:
- Дүрэм YARA дээр суурилсан
- Дүрэм Basic бөгөөд дараах нөхцөлүүдийн нэг биелсэн:
- Connection.CreatedBy.Name
- Connection.CreatedBy.Path
- Connection.CreatedBy.FullPathName
- Connection.CreatedBy.CommandLine
- target нь registry бөгөөд criteriaList нь field-ийнхээ утга дараах утгуудын нэг байх объект агуулсан:
- Registry.CreatedBy.Name
- Registry.CreatedBy.Path
- Registry.CreatedBy.FullPathName
- Registry.CreatedBy.CommandLine
- target нь file бөгөөд criteriaList нь field-ийнхээ утга дараах утгуудын нэг байх объект агуулсан:
- File.CreatedBy.Name
- File.CreatedBy.Path
- File.CreatedBy.FullPathName
- File.CreatedBy.CommandLine

`targets`

`endpointTags` — Тайлбар: Custom rule-ийн хамрах endpoint бүрт дор хаяж нэг нь оноогдсон байх ёстой endpoint tag-ууд; Хүсэлтэд: Заавал биш; Төрөл: Array of objects; Утгууд: Массив доторх объект бүр дараахыг агуулна:

- tagId (String): Endpoint tag-ийн ID. Энэ параметр яг 24 арван зургаатын (hexadecimal) тэмдэгтээс бүрдэнэ.
- companyId (String): Endpoint tag-ийг эзэмшдэг компанийн ID. Энэ параметр яг 24 арван зургаатын (hexadecimal) тэмдэгтээс бүрдэнэ.

> Зөвлөмж:
> - Custom rule-ийн хамрах endpoint бүрт дор хаяж нэг нь оноогдсон байх ёстой endpoint tag-уудын дэлгэрэнгүйг авахын тулд getEndpointTags method-ийг ашиглана.
> - Custom rule-ийн зорилтот endpoint-уудыг тодорхойлоход шинэ endpoint tag хэрэгтэй бол GravityZone Control Center-ийн Network (Сүлжээ) > Tags management (Tag удирдлага) хэсэгт очно. Tag үүсгэх дарааллыг Using endpoint tags хуудасны Creating endpoint tags from scratch хэсгээс үзнэ үү.

Анхдагчаар custom rule таны компанийн бүх endpoint-д хамаарна.

Return value

Энэ method нь шинээр үүссэн дүрмийн ID (String)-г эсвэл custom rule амжилттай үүссэн бол true байх Boolean утгыг буцаана.

Example

Request:

Creating a Basic rule:

{
     "params": {
         "type": 1,
         "name": "Detection Rule via API",
         "description": "Detection Rule via API Description",
         "settings": {
             "status": 0,
             "severity": 1,
             "target": "file",
             "automaticActions": [
                 {
                     "type": 1,
                     "enabled": true
                 }
             ],
             "criteriaList": [
                 {
                     "field": "File.Name",
                     "relation": "is",
                     "value": "abcd"
                 }
             ],
             "filters": [
                 {
                     "field": "detection",
                     "value": "test-api"
                 }
             ]
         },
         "returnRuleId": true
    },
    "jsonrpc": "2.0",
    "method": "createCustomRule",
    "id": "0df7568c-59c1-48e0-a31b-18d83e6d9810"
}

Creating a YARA rule:

{
    "jsonrpc": "2.0",
    "method": "createCustomRule",
    "params": {
        "type": 1,
        "subtype": 1,
        "name": "YARA Detection Rule via API",
        "description": "YARA detection",
        "tags": [
            "API",
            "yara"
        ],
        "settings": {
            "status": 1,
            "severity": 2,
            "yaraQuery": "rule demo { condition: true }",
            "automaticActions": [
                {
                    "type": 5,
                    "enabled": true,
                    "settings": {
                        "type": 2
                    }
                }
            ]
        },
        "targets": {
            "endpointTags": [
                {
                    "tagId": "5b680f6fb1a43d860a7b23c8",
                    "companyId": "61827b8036492c2fc0718722"
                },
                {
                    "tagId": "5b680f6fb1a43d860a7b23c9",
                    "companyId": "61827b8036492c2fc0718722"
                }
            ]
        },
        "returnRuleId": true
    },
    "id": "0df7568c-59c1-48e0-a31b-18d83e6d9810"
}

Response:

{
    "id": "0df7568c-59c1-48e0-a31b-18d83e6d9810",
    "jsonrpc": "2.0",
    "result": "6372b7a3897aaa77ee021642"
}

Энэ хуудсанд гарсан нэр томъёо

Control Center: GravityZone-ийн удирдлагын вэб консол
Endpoint: Хамгаалж буй компьютер, сервер, виртуал машин
Policy: Хамгаалалтын тохиргооны багц; төхөөрөмж эсвэл бүлэгт оноодог
Network: Таны байгууллагын бүх төхөөрөмжийн жагсаалт (Inventory)
Quarantine: Хорио: сэжигтэй файлыг тусгаарлаж хадгалдаг газар
Incidents: Илэрсэн халдлага, түүний алхмуудын бүртгэл (EDR/XDR)
Exclusions: Шалгалтаас хасах файл, хавтас, процесс

Асуулт байна уу?AI туслах GravityZone-ийн монгол баримтаас хайна. Нарийн асуудлыг таны гэрээт борлуулагч, Bitdefender Mongolia-ийн инженер шийднэ.