Module Creator

为 SIEM Rule 创建告警处理模块,将原始告警转换为 Case/Alert/Artifact.

触发场景

• 新建一个 SIEM Rule 的处理模块
• 编写告警处理脚本
• 将 SIEM 告警接入 ASP 的 SIRP 管道

使用样例

输入

参数	说明
Rule 名称	SIEM Rule 全名,同时也是模块文件名和 Redis Stream 名称
raw_alert 样本	从 Redis Stream / 文件 / Redis Insight 获取的原始告警 JSON

输出

• MODULES/<rule-name>.py: 处理模块代码
• TEST/test_module_<slug>.py: 测试脚本

依赖

底层依赖: BaseModule, PLUGINS.SIRP.sirpapi(Alert, Case), PLUGINS.SIRP.sirpcoremodel(数据模型), PLUGINS.SIRP.correlation(关联聚合).

文件名必须与 SIEM Rule 名称完全一致(区分大小写). 先获取 raw_alert 样本再写代码,不要猜测字段结构.