Visão geral das regras de exclusão
As regras de exclusão fornecem uma maneira de filtrar ou excluir detecções de serem convertidas em itens vulneráveis (Vits) durante o processo de ingestão em Resposta a vulnerabilidades.
Essas regras podem ser configuradas para lidar com vários cenários, como:
- Exclusão de vulnerabilidades com baixa gravidade ou risco que não exigem correção imediata.
- Melhorar o processo de correção priorizando os Vits mais críticos para ação.
- Reduzir o tempo de processamento durante a importação de dados excluindo uma porcentagem de detecções da conversão de VIT.
Durante o processo de ingestão de dados, existem abordagens distintas para lidar com detecções novas e existentes.
- Para novas detecções:
- Se uma nova detecção não atender às condições de uma regra de exclusão, uma detecção será criada com os Vits.
- Se uma nova detecção atender às condições de uma regra de exclusão, a regra será associada à detecção, mas a VIT não será criada. Preencha a referência de Regra de exclusão correspondente no registro de detecção. A coluna Regra de exclusão é preenchida com a referência de Regra de exclusão no registro de detecção de acordo.
- Para detecções existentes:
- Se a detecção não atender às condições de nenhuma regra de exclusão, ela prosseguirá com o fluxo de trabalho normal.
- Se uma detecção existente corresponder às condições de uma regra de exclusão, o VIT associado a essa detecção permanecerá em seu estado atual, mas a regra será associada à detecção. O estado da VIT é governado pelo valor definido em sn_vul.close_vit_with_excluded_detectionspropriedade. Por padrão, o valor nesta propriedade é definido como Falso. Se o valor for definido como Falso, as detecções em um VIT serão excluídas e o estado dos Vits permanecerão em seu estado atual. No entanto, se o valor estiver definido como verdadeiro, os seguintes cenários poderão ocorrer:
- Se cada detecção em uma VIT for excluída, o status da VIT será atualizado para Encerrado excluído.Nota:A partir da v22.1.2 de Resposta a vulnerabilidades Um novo subestado chamado Excluído foi adicionado,
- Se uma detecção for marcada como fechada enquanto as restantes forem excluídas, a VIT será designada como fechada fixa.
- Se a VIT tiver detecções abertas, a VIT permanecerá aberta.
- Se cada detecção em uma VIT for excluída, o status da VIT será atualizado para Encerrado excluído.