在“规则检测”视图中过滤数据

“规则检测”视图会显示附加到规则的元数据，以及一张图表，显示规则在最近几天检测到的数量。

如需访问 Chronicle 中的“规则检测”视图，请完成以下步骤：

1. 在“检测”下方的导航栏中，选择规则和检测以显示“规则”信息中心。

   规则信息中心

2. 点击规则名称。系统将显示“规则检测”视图。

   “规则检测”视图

3. 点击左侧导航面板的“检测”列中的向右箭头。

   “原始日志详情”弹出式窗口

4. 点击 Chronicle 界面右上角的 图标。过程过滤菜单随即打开，如下图所示。

   过程过滤菜单

   “规则检测”视图中会显示以下“过程过滤”选项（此列表并未包含所有过滤选项）：

   • METADATA.EVENT_TYPE
   • METADATA.PRODUCT_NAME
   • NETWORK.APPLICATION_PROTOCOL
   • NETWORK.DNS.QUESTIONS.CLASS
   • NETWORK.DNS.ANSWERS.DATA
   • NETWORK.DNS.ANSWERS.NAME
   • NETWORK.DNS.ANSWERS.TTL
   • NETWORK.DNS.ANSWERS.TYPE
   • NETWORK.DNS.QUESTIONS.CLASS
   • NETWORK.DNS.QUESTIONS.NAME
   • NETWORK.DNS.QUESTIONS.TYPE

注意：可用于过程过滤的字段取决于此检测返回的事件。