| 适用 | 内部系统特征、特殊业务协议、监管要求场景 |
|---|---|
| 规则要素 | 匹配字段、位置、阈值、动作 |
| 维护 | 自定义规则纳入版本管理并评审 |
编写流程
编写流程
1. 明确要检测的行为与特征串（不含攻击载荷）
2. 在测试环境验证误报率
3. 灰度上线为告警模式
4. 观察稳定后按需升级为阻断自定义规则同样要标注作者与生效范围，避免成为无人维护的规则。
自定义特征规则
厂商特征之外，可按自有业务特征编写自定义规则，用于检测内部特有协议滥用或敏感数据外发行为。
易错点
- 特征串过于宽泛会引发大量误报，必须先在测试环境验证
- 自定义规则未纳入备份与迁移清单，设备更换后容易丢失
数据来源与参考
- NIST SP 800-94（自定义检测规则）
- 厂商自定义规则编写指南（以厂商文档为准）