Recommendation Scan 與規則

在電腦上執行 Recommendation Scan，可根據電腦上的作業系統及應用程式，找出可能適用的 Log Inspection 規則。掃瞄結果只是規則選擇的起點，不保證找出所有必要規則；指派前仍應確認規則符合實際的監控及稽核需求。

Workload Security 可以自動實作建議規則，也可以由管理員從 Recommended for Assignment 清單中選取並手動指派。需要額外設定、遭排除、已被使用者覆寫、受策略繼承限制或可能造成誤判的規則，不一定能自動實作。如果指派的規則需要設定，Workload Security 會產生告警，通知管理員完成必要的設定。

使用趨勢科技提供的 Log Inspection 規則時，必須同時指派 1002792 - Default Rules Configuration。指派其他趨勢科技規則時，如果未選取這項規則，Workload Security 會顯示通知並自動一併指派。若只使用自訂規則，則須自行指派這項規則，或將必要的群組定義納入自訂規則。

Windows 環境可依需求使用 1002795 - Microsoft Windows Events，分析 Windows 稽核功能所產生的事件。

請只指派符合監控需求的規則。若規則範圍或事件嚴重性門檻設定不當，大量無關事件可能增加保存量與處理負擔，也會讓重要事件更難辨識。

Workload Security 提供適用於多種作業系統及應用程式的預先定義規則。如果沒有符合需求的規則，可以使用 Basic Rule 範本建立自訂規則，或使用 Custom (XML) 以 XML 撰寫規則。自訂規則可能需要指定記錄檔、decoder 或其他相依規則。

如需了解設定流程及規則結構，請參閱 Set up Log Inspection 及 Define a Log Inspection rule for use in policies。