您所构造的过滤器显示于“过滤器”(Filter) 文本框中。点击过滤器面板中的关键字和关键字参数可以构造过滤器。当选择多个关键字时，系统会使用 AND 逻辑将其组合以创建复合搜索过滤器。例如，如果选择类别 (Category) 下的预处理器 (preprocessor)，然后选择规则内容 (Rule Content) > GID 并输入 116，则会获得过滤器 Category: “preprocessor” GID:”116”，用于检索属于预处理器规则并且 GID 为 116 的所有规则。

通过 Category、Microsoft Vulnerabilities、Microsoft Worms、Platform Specific、Preprocessor 和 Priority 过滤器组，可以为一个关键字提交多个参数（以逗号分隔）。例如，可以从类别 (Category) 中选择 os-linux 和 os-windows 以生成过滤器 Category:"os-windows,os-linux"，用于检索 os-linux 类别或 os-windows 类别中的任意规则。

要显示过滤器面板，请点击显示图标。

要隐藏过滤器面板，请点击隐藏图标。

在大多数情况下，当构建过滤器时，可以使用入侵策略中“规则”(Rules) 页面左侧的过滤器面板选择要使用的关键字/参数。

规则过滤器在过滤器面板中分为不同的规则过滤器组。许多规则过滤器组包含子条件，因此可以更轻松地找到所需的特定规则。有些规则过滤器有多个级别，可展开以向下钻取到各个规则。

过滤器面板中的项有时表示过滤器类型组，有时表示关键字，还有时表示关键字的参数。请注意以下提示：

• 当选择不是关键字的过滤器类型组标题（“规则配置”[Rule Configuration]、“规则内容”[Rule Content]、“平台特定”[Platform Specific] 和“优先级”[Priority]）时，该标题会展开以列出可用关键字。

  通过点击条件列表中的节点来选择关键字时，将显示一个弹出窗口，其中提供要作为过滤条件的参数。

  如果过滤器中已在使用该关键字，则提供的参数将替换该关键字的现有参数。

  例如，如果点击过滤器面板中规则配置 (Rule Configuration) > 建议 (Recommendation) 下的丢弃并生成事件 (Drop and Generate Events)，则会将 Recommendation:"Drop and Generate Events" 添加到过滤器文本框中。如果随后点击规则配置 > 建议 下的生成事件，则过滤器会更改为建议：“生成事件”。

• 当选择属于关键字的过滤器类型组标题（“类别”[Category]、“分类”[Classifications]、“Microsoft 漏洞”[Microsoft Vulnerabilities]、“Microsoft 蠕虫”[Microsoft Worms]、“优先级”[Priority] 和“规则更新”[Rule Update]）时，该标题会列出可用参数。

  从此类型的组中选择项目时，该参数及其应用到的关键字会立即添加到过滤器中。如果该关键字已经在过滤器中，它将替换与该组对应的关键字的现有参数。

  例如，如果点击过滤器面板中类别下的 os-linux，则会将 类别：“os-linux”添加到过滤器文本框中。如果随后点击 Category 下的 os-windows，过滤器将更改为 Category:"os-windows"。

• Rule Content 下的 Reference 是关键字，其下方列出的特定引用 ID 类型同样如此。选择任何引用关键字时，会显示一个弹出窗口，其中提供添加到现有过滤器的参数和关键字。如果过滤器中已在使用该关键字，则提供的新参数将替换现有参数。

  例如，如果依次点击过滤器面板中的 规则内容 (Rule Content) > 引用 (Reference) > CVE ID ，系统将显示弹出窗口，提示您提供 CVE ID。如果输入 2007，则会将 CVE:”2007” 添加到过滤器文本框中。又例如，如果依次点击过滤器面板中的 规则内容 (Rule Content) > 引用 (Reference) ，系统将显示弹出窗口，提示您提供该引用。如果输入 2007，则会将 Reference:”2007” 添加到过滤器文本框中。

• 从不同的组中选择规则过滤器关键字时，会将每个过滤器关键字都添加到过滤器中并保留所有现有关键字（除非被同一关键字的新值覆盖）。

  例如，如果点击过滤器面板中类别下的 os-linux，则会将 类别：“os-linux”添加到过滤器文本框中。如果随后点击 Microsoft Vulnerabilities 下的 MS00-006，过滤器将更改为 Category:"os-linux" MicrosoftVulnerabilities:"MS00-006"。

• 当选择多个关键字时，系统会使用 AND 逻辑将其组合以创建复合搜索过滤器。例如，如果选择类别 (Category) 下的预处理器 (preprocessor)，然后选择规则内容 (Rule Content) > GID 并输入 116，则会获得过滤器 Category: “preprocessor” GID:”116”，用于检索属于预处理器规则并且 GID 为 116 的所有规则。

• Category、Microsoft Vulnerabilities、Microsoft Worms、Platform Specific 和 Priority 过滤器组可以为一个关键字提交多个参数（以逗号分隔）。例如，可以从类别 (Category) 中选择 os-linux 和 os-windows 以生成过滤器 Category:"os-windows,app-detect"，用于检索 os-linux 类别或 os-windows 类别中的任意规则。

同一规则可以按多个过滤器关键字/参数对进行检索。例如，如果按类别 dos 来过滤规则，系统将显示 DOS 思科尝试规则 (SID 1545)，按优先级 High 进行过滤亦如此。

注	Talos 情报小组 可能会使用规则更新机制添加和删除规则过滤器。

请注意，“规则”页面上的规则可以是共享对象规则（生成器 ID 3）或标准文本规则（生成器 ID 1，全局域或旧式 GID；1000-2000，子代域）。下表介绍不同的规则过滤器。

可以从入侵策略中“规则”(Rules) 页面左侧的过滤器面板中选择预定义的过滤器关键字。选择过滤器时，该页面会显示所有匹配的规则，或者指出没有匹配的规则。

您可以对过滤器添加关键字来进一步对其进行限制。输入的任何过滤器都会搜索整个规则数据库并返回所有匹配的规则。当您在页面仍显示上一过滤器的结果时输入过滤器，页面将清空，转而返回新过滤器的结果。

您也可以使用在选择过滤器时提供的相同关键字和参数语法来键入过滤器，或者在选择过滤器后修改其中的参数值。当键入的搜索条件没有关键字、关键字的首字母没有大写或者没有用引号将参数引起来时，该搜索将被视为字符串搜索，并搜索类别、消息和 SID 字段中有无指定条件。

在入侵策略中，可以将规则的状态设置为以下值：

生成事件

您希望系统检测特定入侵企图，并在其发现匹配流量时生成入侵事件。当恶意数据包通过网络并触发该规则时，数据包被发送到其目标，系统生成入侵事件。该恶意数据包到达其目标，但是您通过事件日志记录收到通知。

丢弃并生成事件

您希望系统检测特定入侵企图，丢弃包含攻击的数据包，并在其发现匹配流量时生成入侵事件。该恶意数据包永远不会到达其目标，并且您通过事件日志记录收到通知。

请注意，设置为此规则状态的规则在被动部署中生成事件但不丢弃数据包。为使系统丢弃数据包，还必须在入侵策略中启用内联时丢弃 (Drop when Inline) 并部署设备内联，并且您必须内联部署设备。

禁用

您不希望系统评估匹配流量。

注	选择生成事件 (Generate Events) 或丢弃并生成事件 (Drop and Generate Events) 选项可启用规则。选择禁用 (Disable) 会禁用规则。 思科强烈建议不要启用入侵策略中的所有入侵规则。如果启用所有规则，则您的受管设备的性能可能会下降。相反，应调整规则集，使之与网络环境尽可能匹配。

在入侵策略中，可以为任何入侵规则或预处理器规则配置基于速率的过滤器。基于速率的过滤器包含三个组成部分：

• 规则的匹配速率，配置为特定秒数内的规则匹配项数量

• 超过速率时要执行的新操作，可用的操作有三项：“生成事件”(Generate Events)、“丢弃并生成事件”(Drop and Generate Events) 和“禁用”(Disable)。

• 操作的持续时间，配置为超时值

请注意，新操作自开始之后，在到达超时时间之前会一直执行，即使速率在这段时间内降到配置的速率以下亦不会停止。达到超时后，如果速率低于阈值，则规则的操作会恢复到为该规则最初配置的操作。

在内联部署中，可以配置基于速率的攻击防御来临时或永久拦截攻击。如果没有基于速率的配置，设置为“生成事件”(Generate Events) 的规则确实会生成事件，但系统不会丢弃这些规则的数据包。但是，如果攻击流量所匹配的规则配置了基于速率的条件，则基于速率的操作可能会导致系统在该操作处于活动状态的时间内丢弃数据包，即便这些规则最初并未设置为“丢弃并生成事件”(Drop and Generate Events)。

注	基于速率的操作无法启用禁用的规则，也无法丢弃与禁用的规则匹配的流量。

可以对同一规则定义多个基于速率的过滤器。入侵策略中列出的第一个过滤器优先级最高。请注意，当两个基于速率的过滤器的操作相冲突时，系统将执行第一个基于速率的过滤器的操作。