配置规则排除项
在“排除对象”标签页中创建排除对象
您可能会发现，Google Cloud 威胁情报 (GCTI) 团队提供的精选检测 会生成过多检测，您可以为精选检测规则配置排除对象，以帮助减少此类检测的数量。规则排除项仅适用于 Google Security Operations 管理的检测。
如需为特选检测规则配置排除项，请完成以下步骤：
在导航栏中，选择规则和检测。点击排除对象标签页。
点击创建排除项以创建新的排除项。系统随即会打开创建排除项窗口。
图 1：创建排除项
指定一个唯一的排除对象名称。此名称将显示在“排除对象”标签页的排除对象列表中。
选择要将排除对象应用到的规则或规则集。您可以滚动浏览规则列表，也可以使用搜索字段搜索特定规则，然后点击搜索。 只有在规则集中的规则触发了检测时，系统才会显示这些规则。
选择 UDM 字段，指定运算符，然后输入一个值，以输入要排除的 UDM 值。您必须为每个值按 Enter 键，否则在点击 + 条件语句时，您会收到错误消息。例如，当
principal.hostname = google.com时，您可能希望配置排除项。您可以为条件输入其他值。每次您按 Enter 键时，系统都会记录该值，然后您可以输入另一个值。一个条件的多个值使用逻辑 OR 进行连接，也就是说，只要任一值匹配，排除项就会匹配。
您可以点击 + 条件语句，以为此排除项添加其他条件。如果您尝试指定无效条件，则会收到错误消息。多个条件之间使用逻辑 AND 连接，这意味着只有当所有条件也都匹配时，才会符合排除项。
（可选）点击运行测试，确定在启用后要创建的排除对象数量，通过评估排除对象在过去两周内记录的检测结果计算得出。
（可选）如果您想暂时停用排除功能，请取消选中创建排除项后即启用（此选项默认处于启用状态）。
准备就绪后，点击添加规则排除对象。
从 UDM 查看器创建排除对象
您也可以在 UDM 查看器中创建排除对象，具体操作步骤如下：
在导航栏中，选择规则和检测。点击精选检测标签页。
点击信息中心，然后选择包含检测的规则。
在时间轴中前往相应事件，然后点击“原始日志和 UDM 事件查看器”图标。
在 UDM 活动视图中，选择要排除的 UDM 字段，然后依次选择查看选项和排除。系统随即会打开创建排除项窗口。该窗口会预先填充规则、UDM 字段以及根据您的 UDM 选项提取的值。
为新排除对象指定一个具有唯一性的名称。
（可选）点击运行测试，确定在启用后要创建的排除对象数量，通过评估排除对象在过去两周内记录的检测结果计算得出。
准备就绪后，点击添加规则排除项。
管理排除对象
创建一个或多个排除对象后，您可以在排除对象标签页中使用以下选项（在导航栏中，选择规则和检测）。点击排除对象标签页：）
- 排除对象列在排除对象表中。您可以停用列出的任何排除对象，方法是将已启用开关切换为已停用。
- 您可以点击过滤图标 来过滤要显示的排除对象。根据需要选择已启用、已停用或已归档选项。
- 要修改排除对象，请点击菜单图标 ，然后选择修改。
- 若要归档排除项，请点击菜单图标 ，然后选择归档。
- 要将排除对象取消归档，请点击菜单图标 ，然后选择取消归档。