检测规则系统

概述

BlackShield 提供统一的检测规则集引擎，可自动评估传入的 SIEM 遥测日志、扫描仪结果和外部攻击面暴露 (EASM)。所有规则均以本机 JSON 格式存储和管理，提供开箱即用的零摩擦安全评估。

Core Tenets & Architecture

零配置（无操作）

租户加入后，检测规则立即处于活动状态。无需手动启用或配置规则。

不可变的平台规则

系统规则以只读模式对租户完全可见，保证基线合规完整性。

租户自定义规则链接

租户可以创建自定义检测规则并将其链接到父规则 parent_rule_id.

Dual Telemetry & Findings Engine

支持 log, finding, or both 目标类型。

Testing & Dry-Run Sandbox

在部署自定义规则之前，使用应用内沙盒测试器或 SDK 来模拟检测评估：

from blackshield import BlackShield

client = BlackShield(api_key="bsk_live_...")
test_res = client.rules.test(
    rule_id="BS-LOG-AUTH-01",
    target_type="log",
    payload={
        "source_type": "sshd",
        "event_type": "ssh_failed_login",
        "actor_user": "root",
        "src_ip": "198.51.100.42"
    }
)
print("Matched:", test_res["matched"])