# थ्रेट इंटेलिजेंस (STIX/TAXII)

थ्रेट इंटेल फ़ीड ज्ञात हानिकारक IP पते, डोमेन, URL, ईमेल पते और फ़ाइल हैश Status200 में लाती है, और बताती है कि कब आपके [सुरक्षा इवेंट](/docs/telemetry/security-events) में इनमें से कोई आता है। एक फ़ीड एक स्रोत पढ़ती है: किसी https पते पर संकेतकों की एक सूची, जैसे वे मुफ़्त सूचियाँ जिन्हें Status200 एक क्लिक में जोड़ता है, आपके अपने MISP, OpenCTI या OpenTAXII सर्वर या किसी प्रदाता का STIX 2.1 संकेतकों वाला TAXII 2.1 कलेक्शन, या वे संकेतक जो Google SecOps ने आपके इवेंट में पाए।

:::cards
- [मुफ़्त सूची जोड़ें](#मुफ़्त-सूची-जोड़ें): Feodo Tracker, Emerging Threats और Tor एग्ज़िट नोड, एक क्लिक में।
- [फ़ीड की सदस्यता लें](#फ़ीड-की-सदस्यता-लें): किसी सूची का पता, एक TAXII कलेक्शन या एक Google SecOps कनेक्शन।
- [क्या इन्जेस्ट होता है](#क्या-इन्जेस्ट-होता-है): संकेतकों के वे पैटर्न जो Status200 रखता है, और कितने समय तक।
- [मिलान कैसे मिलते हैं](#मिलान-कैसे-मिलते-हैं): इवेंट पहुँचते ही टैग किए जाते हैं, और हर मिनट मिलाए जाते हैं।
- [थ्रेट स्तर](#थ्रेट-स्तर): संकेतक का confidence गंभीरता कैसे बनता है।
:::

## यह कैसे काम करता है

```mermaid title="फ़ीड से अलर्ट तक"
flowchart TB
    taxii["एक सूची, एक TAXII<br/>कलेक्शन या<br/>Google SecOps"] -->|"फ़ीड के अंतराल<br/>पर पोल किया गया"| indicators["संकेतक: IP,<br/>डोमेन, URL,<br/>ईमेल, हैश"]
    events["नए सुरक्षा<br/>इवेंट"] --> tag["पहुँचते ही<br/>threat.* विशेषताओं<br/>से टैग"]
    indicators --> tag
    indicators --> match["हर मिनट हाल<br/>के इवेंट से मिलान"]
    match --> act["एक केस, एक अलर्ट,<br/>एक वैकल्पिक घटना<br/>और एक निष्कर्ष"]
```

## शुरू करने से पहले

- सूची के लिए, एक `https` पता जो हर पंक्ति में एक संकेतक वाली टेक्स्ट फ़ाइल डाउनलोड करता है।
- TAXII फ़ीड के लिए, एक TAXII 2.1 सर्वर जो STIX 2.1 `indicator` ऑब्जेक्ट प्रकाशित करता है, और पोल किए जाने वाले कलेक्शन की ID। TAXII फ़ीड गुमनाम रूप से, bearer टोकन से, या HTTP बेसिक ऑथ से साइन इन करती है।
- Google SecOps फ़ीड के लिए, एक [Google SecOps कनेक्शन](/docs/integrations/google-secops#प्रबंधित-कनेक्टर-सेट-करें) जिसका सर्विस अकाउंट संकेतक मिलान खोज सके: `roles/chronicle.viewer` भूमिका ऐसा कर सकती है।
- जिन सर्वर को TLS क्लाइंट सर्टिफ़िकेट (म्यूचुअल TLS) चाहिए, जैसे CISA AIS, वे समर्थित नहीं हैं। MITRE का सार्वजनिक ATT&CK सर्वर संकेतक नहीं, तकनीकें और समूह प्रकाशित करता है, इसलिए उसकी ओर इशारा करने वाली फ़ीड खाली रहती है।
- फ़ीड बना सकने वाली भूमिका: Project Owner, Project Admin, Security Admin या Security Member। Security Viewer फ़ीड और संकेतक पढ़ सकता है। देखें [भूमिकाएँ](/docs/permissions/reference#भूमिकाएँ)।

## मुफ़्त सूची जोड़ें

**Threat Intel** पर **मुफ़्त सूचियाँ** कार्ड एक क्लिक में एक मुफ़्त ब्लॉकलिस्ट जोड़ता है: किसी सूची पर **सूची जोड़ें** पर क्लिक करें, और Status200 एक फ़ीड बनाता है जो सूची के शेड्यूल पर उसे डाउनलोड करती है। जिस सूची को प्रोजेक्ट पहले से पढ़ता है, उस पर **जोड़ा गया** लिखा होता है।

| सूची | प्रकाशक | पढ़ी जाती है | भरोसा | मिलान पर खुलता है |
| --- | --- | --- | --- | --- |
| Feodo Tracker के बॉटनेट C2 सर्वर | abuse.ch | हर घंटे | 90, Critical | एक केस और एक अलर्ट |
| Emerging Threats के कॉम्प्रोमाइज़्ड होस्ट | Proofpoint Emerging Threats | हर दिन | 70, High | एक केस और एक अलर्ट |
| Tor एग्ज़िट नोड | The Tor Project | हर घंटे | 30, Low | एक केस |

किसी सूची की टाइल उसकी शर्तों से लिंक करती है: Feodo Tracker किसी भी उपयोग के लिए मुफ़्त है (CC0), और Emerging Threats सूची BSD लाइसेंस वाली है। सूची से जोड़ी गई फ़ीड किसी भी दूसरी फ़ीड की तरह संपादित और हटाई जाती है।

## फ़ीड की सदस्यता लें

:::steps
### Threat Intel पर जाएँ

**उत्पाद → Security Events → Detections → Threat Intel** खोलें।

### फ़ीड बनाएँ

**Threat Intel Feed बनाएँ** पर क्लिक करें और उसका **स्रोत** चुनें: **संकेतकों की सूची**, **TAXII संग्रह** या **Google SecOps**। अगला चरण सिर्फ़ उसी स्रोत के बारे में पूछता है: सूची का **सूची URL**, कलेक्शन का **TAXII सर्वर** और **साइन-इन**, या **Google SecOps कनेक्शन**। **मिलान होने पर** सबसे आखिर में आता है। फ़ील्ड नीचे की तालिका में हैं।

### पहला पोल जाँचें

एक-दो मिनट में फ़ीड की पंक्ति में **Last Polled** दिखता है, और **Last Poll Summary** बताता है कि पोल में क्या आया। संकेतक फ़ीड के नीचे **संकेतक** तालिका में दिखते हैं।
:::

| फ़ील्ड | क्या डालें |
| --- | --- |
| **स्रोत** | संकेतक कहाँ से आते हैं। यह फ़ीड बनाते समय तय होता है: किसी दूसरे स्रोत की फ़ीड एक नई फ़ीड है। |
| **सूची URL** | सूची के लिए: एक टेक्स्ट फ़ाइल का `https` पता, जिसकी हर पंक्ति में एक IP पता, डोमेन, URL या फ़ाइल हैश हो। |
| **Confidence** | सूची के लिए: सूची कितनी पक्की है, 1 से 100। सूची के हर संकेतक को यही मान मिलता है, और यह [थ्रेट स्तर](#थ्रेट-स्तर) तय करता है; खाली होने पर Medium। |
| **Google SecOps कनेक्शन** | Google SecOps के लिए: वह कनेक्शन जिसकी कुंजी Google SecOps को मिले संकेतक पढ़ती है। कोई कनेक्शन न होने पर, **Google SecOps कनेक्ट करें** से **Connections** खुलता है। |
| **TAXII API Root URL** | सर्वर का TAXII 2.1 API रूट, जैसे `https://taxii.example.com/api1/`। कलेक्शन इसके अंदर पते से पहचाने जाते हैं। |
| **Collection ID** | वह कलेक्शन जो संकेतक प्रकाशित करता है। |
| **Poll Interval (Minutes)** | स्रोत कितनी बार पढ़ना है: 1 से 1440 मिनट, डिफ़ॉल्ट रूप से 60। सूची ज़्यादा से ज़्यादा हर 15 मिनट में पढ़ी जाती है। |
| **Minimum Confidence** | TAXII कलेक्शन या Google SecOps के लिए: इससे कम confidence वाले संकेतक छोड़ दिए जाते हैं, 0 से 100, और 0 सब कुछ रखता है। बिना confidence वाले संकेतक हमेशा पास होते हैं। |
| **साइन-इन** | Status200 कैसे साइन इन करता है: सार्वजनिक कलेक्शन के लिए **साइन-इन नहीं**, सर्वर के ऑपरेटर से मिले टोकन के लिए **Bearer टोकन**, या HTTP बेसिक ऑथ के लिए **उपयोगकर्ता नाम और पासवर्ड**। |
| **API Token**, **Basic Auth Username** और **Basic Auth Password** | सिर्फ़ चुने गए साइन-इन के लिए पूछे जाते हैं। |
| **Open a Case on Match** | डिफ़ॉल्ट रूप से चालू: किसी संकेतक का नाम लेने वाला हर इवेंट उसके बारे में एक [केस](/docs/telemetry/security-cases) खोलता है, या उसके बारे में पहले से खुले केस में जुड़ जाता है। |
| **अलर्ट और घटनाएं** | डिफ़ॉल्ट रूप से **अलर्ट बनाएं**: हर मेल खाने वाला संकेतक एक अलर्ट खोलता है। |
| **अलर्ट गंभीरता** | इस फ़ीड से खुलने वाले हर अलर्ट की गंभीरता। हर संकेतक का थ्रेट स्तर लेने के लिए इसे खाली छोड़ें। |
| **घटना घोषित करें** या **दोनों** | **अलर्ट और घटनाएं** में। घटनाएँ ऑन-कॉल एस्केलेशन, SLA और स्टेटस पेज चलाती हैं, और संकेतक मिलानों के लिए आम तौर पर अलर्ट काफ़ी होते हैं। |
| **घटना गंभीरता** | **अलर्ट गंभीरता** जैसा, घटनाओं के लिए। |
| **Write Detection Finding on Match** | डिफ़ॉल्ट रूप से चालू: हर मिलान इवेंट स्ट्रीम में एक निष्कर्ष लिखता है। |

TAXII फ़ीड के टोकन और पासवर्ड एन्क्रिप्ट किए जाते हैं और सहेजने के बाद फिर कभी नहीं दिखते। उन्हें बदलने के लिए फ़ीड की पंक्ति में **Update Credentials** चुनें और फिर **Bearer टोकन**, **उपयोगकर्ता नाम और पासवर्ड** या **साइन-इन नहीं** चुनें, जो सहेजी गई जानकारी मिटा देता है: आपका चुनाव फ़ीड का साइन-इन बदल देता है, इसलिए टोकन सहेजने से सहेजा गया पासवर्ड मिट जाता है, और उल्टा भी।

### फ़ीड कैसे पोल होती है

हर पोल TAXII के `added_after` कर्सर के ज़रिए पिछले पोल के बाद जोड़े गए ऑब्जेक्ट माँगता है, और 500 ऑब्जेक्ट वाले ज़्यादा से ज़्यादा 10 पेज पढ़ता है। इसलिए बड़ा कलेक्शन कई पोल में सिंक होता है: जब और पेज बाकी हों, तो **Last Poll Summary** बताता है। बड़े पहले सिंक को जल्दी पूरा करने के लिए, उसके बराबर आने तक **Poll Interval (Minutes)** को 1 तक कम करें।

पोल अपना परिचय यूज़र एजेंट `OneUptime/<version> (+https://status200.ru)` से देते हैं। अगर प्रदाता का फ़ायरवॉल `403` जवाब देता है, तो उनसे इसे अनुमति देने को कहें: कई फ़ायरवॉल ऐसे अनुरोध रोकते हैं जो किसी बेनाम स्क्रिप्ट जैसे दिखते हैं।

बंद की गई फ़ीड न पोल होती है, न उसका मिलान होता है। उसके पास पहले से मौजूद संकेतक, अपनी समय-सीमा खत्म होने तक, नए इवेंट को टैग करते रहते हैं।

### सूची कैसे पढ़ी जाती है

- हर पोल पूरी सूची डाउनलोड करता है और उसे एक-एक पंक्ति पढ़ता है: किसी पंक्ति का पहला मान, स्पेस, टैब, कॉमा या सेमीकोलन तक। `#`, `;` या `//` से शुरू होने वाली पंक्तियाँ टिप्पणियाँ हैं, किसी पते या डोमेन के बाद का पोर्ट हटा दिया जाता है, और `198.51.100.0/24` जैसी पता रेंज छोड़ दी जाती है।
- कोई मान उसे आखिरी बार पढ़ने वाले पोल के बाद 2 दिन तक सक्रिय संकेतक रहता है, और सूची से हटाया गया मान अगले पोल से मेल खाना बंद कर देता है। जो सूची नहीं बदली, वह दिन में एक बार फिर से लिखी जाती है।
- एक सूची में ज़्यादा से ज़्यादा 50,000 संकेतक होते हैं। **Last Poll Summary** बताता है कि कितने पढ़े गए, कितनी पंक्तियाँ छोड़ी गईं और कितने बाहर रह गए।
- पते को `https` इस्तेमाल करना होगा, और उस पर कनेक्शन वाले ही आउटबाउंड नियम लागू होते हैं: Status200 Cloud पर निजी पता अस्वीकार कर दिया जाता है।

### Google SecOps कैसे पढ़ा जाता है

- हर पोल पिछले पोल के बाद Google SecOps के दर्ज किए संकेतक मिलान Mandiant के एट्रिब्यूट के साथ पढ़ता है: मेल खाने वाला डोमेन, पता या फ़ाइल हैश, उसका confidence, उसकी श्रेणी, और उससे जुड़े अभियान और हमलावर। पहला पोल पिछले 7 दिन पढ़ता है।
- कोई संकेतक Google SecOps के उसे आखिरी बार देखने के बाद 30 दिन तक सक्रिय रहता है, या तब तक जब तक उसका स्रोत न कहे कि वह सक्रिय नहीं रहा, और जिसे किसी विश्लेषक ने Google SecOps में म्यूट किया है, वह यहाँ भी मेल खाना बंद कर देता है।
- जिस मिलान को Google SecOps सक्रिय सेंध के रूप में चिह्नित करता है वह Critical है, और ऊँची प्राथमिकता वाला मिलान कम से कम High है।

## क्या इन्जेस्ट होता है

TAXII कलेक्शन से, Status200 वे STIX `indicator` ऑब्जेक्ट रखता है जिनका पैटर्न इनमें से किसी एक प्रकार पर सादी समानता है। सूची और Google SecOps भी यही प्रकार देते हैं:

| प्रकार | उदाहरण पैटर्न |
| --- | --- |
| IPv4 पता (`ipv4-addr`) | `[ipv4-addr:value = '198.51.100.7']` |
| IPv6 पता (`ipv6-addr`) | `[ipv6-addr:value = '2001:db8::7']` |
| डोमेन नाम (`domain-name`) | `[domain-name:value = 'evil.example']` |
| URL (`url`) | `[url:value = 'http://evil.example/payload']` |
| ईमेल पता (`email-addr`) | `[email-addr:value = 'billing@evil.example']` |
| फ़ाइल हैश, SHA-256 (`file-hash-sha256`) | `[file:hashes.'SHA-256' = 'e3b0…b855']` |
| फ़ाइल हैश, SHA-1 (`file-hash-sha1`) | `[file:hashes.'SHA-1' = 'da39…0709']` |
| फ़ाइल हैश, MD5 (`file-hash-md5`) | `[file:hashes.MD5 = 'd41d…427e']` |

`OR` से जुड़ी तुलनाएँ, एक `[...]` के अंदर या कई में फैली हुई, ठीक हैं, और हर मान अपना अलग संकेतक बनता है:

```text
[domain-name:value = 'evil.example' OR domain-name:value = 'evil2.example']
[ipv4-addr:value = '198.51.100.7'] OR [url:value = 'http://evil.example/x']
```

कोई भी दूसरा पैटर्न, जिसमें `AND`, `FOLLOWEDBY`, `NOT`, `LIKE`, `MATCHES`, `WITHIN` जैसा कोई समय क्वालिफ़ायर, या कोई दूसरा ऑब्जेक्ट प्रकार हो, पूरा छोड़ दिया जाता है और **Last Poll Summary** में असमर्थित के रूप में गिना जाता है। `AND` पैटर्न के सिर्फ़ एक हिस्से का अनुवाद फ़ीड के लेखक के इरादे से कहीं ज़्यादा चीज़ों से मेल खाएगा।

### संकेतक कितने समय सक्रिय रहता है

- संकेतक अपने `valid_from` से अपने `valid_until` तक मेल खाता है। `valid_until` न हो, तो वह `valid_from` से 365 दिन तक सक्रिय रहता है, और उसे फिर से पोल करने से यह अवधि नहीं बढ़ती।
- रद्द किया गया संकेतक, या बीते समय के `valid_until` के साथ अपडेट किया गया संकेतक, अपडेट पोल होते ही मेल खाना बंद कर देता है। यही उस मान के साथ होता है जिसे प्रदाता अपडेट किए गए पैटर्न से हटा देता है।
- मान छोटे अक्षरों में सहेजे जाते हैं और अक्षरों के बड़े-छोटे होने की परवाह किए बिना मेल खाते हैं।

**संकेतक** तालिका संकेतकों को वैसे दिखाती है जैसे वे सहेजे गए हैं, और **स्थिति** कॉलम में **सक्रिय**, **समय-सीमा खत्म** या **Revoked** दिखाती है। फिर से पोल किया गया संकेतक कुछ समय तक दो बार दिख सकता है, और समय-सीमा खत्म या रद्द पंक्ति तब तक सूची में रहती है जब तक स्टोरेज की सफ़ाई उसे हटा न दे, समय-सीमा खत्म होने के लगभग एक महीने बाद तक। मिलान हमेशा वैधता और रद्दीकरण जाँचता है, इसलिए ऐसी पंक्ति कभी मेल नहीं खाती।

## मिलान कैसे मिलते हैं

### इवेंट पहुँचते ही टैग किए जाते हैं

हर आने वाला सुरक्षा इवेंट, चाहे इन्जेस्ट API से आए या किसी कनेक्शन से, सहेजे जाने से पहले आपके सक्रिय संकेतकों से जाँचा जाता है। जब उसका कोई observable (इवेंट से लिए गए IP, होस्ट, डोमेन, हैश और उपयोगकर्ता) किसी संकेतक के मान के बराबर होता है, तो इवेंट पर ये विशेषताएँ लगाई जाती हैं:

| विशेषता | मान |
| --- | --- |
| `threat.matched` | टैग किए गए इवेंट पर हमेशा `"true"` |
| `threat.indicator_id` | STIX संकेतक की id, या उन स्रोतों के लिए `list` या `google-secops` |
| `threat.indicator_type` | संकेतक का प्रकार, जैसे `ipv4-addr` या `file-hash-sha256` |
| `threat.indicator_value` | मेल खाया मान, छोटे अक्षरों में |
| `threat.feed` / `threat.feed_id` | वह फ़ीड जिससे संकेतक आया |
| `threat.confidence` | संकेतक का STIX confidence |
| `threat.match_count` | इवेंट के कितने observable किसी संकेतक से मेल खाए |

जब कई संकेतक एक इवेंट से मेल खाते हैं, तो सबसे ज़्यादा confidence वाला ये मान भरता है। ये सामान्य विशेषताएँ हैं, इसलिए आप **इवेंट** में इन पर खोज सकते हैं, इनसे सुरक्षा इवेंट मॉनिटर फ़िल्टर कर सकते हैं, और इन्हें पहचान नियमों में इस्तेमाल कर सकते हैं:

```yaml title="threat-intel-logon.yml"
title: High-confidence indicator in a successful logon
level: critical
detection:
  selection:
    threat.matched: 'true'
    threat.confidence|gte: 80
    className: Authentication
    statusName: Success
  condition: selection
```

टैगिंग सिर्फ़ उन संकेतकों को जानती है जो इवेंट के पहुँचने के समय मौजूद हैं: इवेंट बाद में फिर कभी टैग नहीं होते।

### हर मिनट मिलान

हर मिनट, हर सक्षम फ़ीड के सक्रिय संकेतकों का मिलान उन इवेंट से होता है जिनका इवेंट समय फ़ीड की पिछली जाँच के बाद का है। इससे वह इंटेल पकड़ में आता है जो किसी इवेंट के टैग होने के बाद आया।

- पहली जाँच पिछले 15 मिनट कवर करती है। किसी रुकावट के बाद, अगली जाँच ज़्यादा से ज़्यादा पिछले 24 घंटे की भरपाई करती है।
- हर विंडो एक बार जाँची जाती है। अपनी विंडो जाँचे जाने के बाद आया इंटेल सिर्फ़ बाद के इवेंट पर लागू होता है।
- देर से आया इवेंट, जिसका समय पिछली जाँच से पहले का है, पहुँचने पर तब भी टैग होता है, लेकिन उसका मिलान नहीं होता।
- हर जाँच मेल खाने वाले हर संकेतक मान को एक Detection Finding के रूप में दर्ज करती है, हर फ़ीड के लिए 10,000 तक। सबसे ज़्यादा इवेंट में दिखे 100 मानों के लिए अलर्ट, घटनाएँ और केस खुलते हैं; बाक़ी फ़ीड के बारे में एक केस साझा करते हैं, और फ़ीड की **Last Match Error** बताती है कि कितने मेल खाए।

### मिलान से क्या होता है

- `[Threat Intel] <feed name> — <indicator value>` शीर्षक वाला एक अलर्ट, जब तक वह खुला रहे, हर फ़ीड और मान के लिए एक। उसके सुलझने के बाद अगला मिलान नया अलर्ट खोलता है। अलर्ट अपने आप नहीं सुलझते।
- एक घटना, सिर्फ़ तब जब **अलर्ट और घटनाएं** में **घटना घोषित करें** या **दोनों** चुना हो, उसी तरह डुप्लिकेट हटाकर।
- एक Threat Intel निष्कर्ष, **Write Detection Finding on Match** के साथ: `Status200 Threat Intel` उत्पाद से एक `Detection Finding` इवेंट (OCSF क्लास 2004), जिसकी गंभीरता संकेतक का थ्रेट स्तर होती है, और जिसमें ये विशेषताएँ होती हैं:

| विशेषता | मान |
| --- | --- |
| `status200.threat.feed_id` / `status200.threat.feed_name` | फ़ीड |
| `status200.threat.indicator_id` | STIX संकेतक की id, या उन स्रोतों के लिए `list` या `google-secops` |
| `status200.threat.indicator_type` / `status200.threat.indicator_value` | क्या मेल खाया |
| `status200.threat.confidence` | संकेतक का confidence |
| `status200.threat.match_count` | इस निष्कर्ष के पीछे कितने इवेंट हैं |

निष्कर्षों का खुद कभी मिलान नहीं होता, इसलिए एक मिलान दूसरा मिलान नहीं छेड़ सकता।

## थ्रेट स्तर

संकेतकों का कोई Sigma स्तर नहीं होता: इसके बजाय उनका STIX `confidence` एक थ्रेट स्तर तय करता है।

| संकेतक का confidence | थ्रेट स्तर |
| --- | --- |
| 90 से 100 | Critical |
| 70 से 89 | High |
| 40 से 69 | Medium |
| 1 से 39 | Low |
| बिना स्कोर (0 या मौजूद नहीं) | Medium |

बिना स्कोर वाला संकेतक Medium गिना जाता है: आख़िर किसी ने उसे फ़ीड में डालना चुना था। थ्रेट स्तर निष्कर्ष की गंभीरता है, और यह आपके प्रोजेक्ट की गंभीरताओं में से अलर्ट की गंभीरता इस क्रम में चुनता है:

1. फ़ीड की **अलर्ट गंभीरता** (या **घटना गंभीरता** ), अगर सेट हो: यह फ़ीड के हर मिलान पर लागू होती है।
2. थ्रेट स्तर के नाम वाली आपकी गंभीरता, जैसे High, अक्षरों के बड़े-छोटे होने की परवाह किए बिना।
3. रैंक के हिसाब से: Critical और High आपकी सबसे गंभीर गंभीरता लेते हैं, Medium और Low सबसे कम गंभीर।

थ्रेट स्तर हर संकेतक का होता है, फ़ीड का नहीं, इसलिए एक फ़ीड एक ही मिनट में एक Critical अलर्ट और एक Low अलर्ट खोल सकती है। **Minimum Confidence** उसी संख्या पर फ़िल्टर करता है: 70 का न्यूनतम सिर्फ़ High और Critical संकेतक रखता है, साथ में बिना स्कोर वाले, जो हमेशा पास होते हैं।

## किसी फ़ीड के मिलानों पर नज़र रखें

किसी फ़ीड की पंक्ति में **मॉनिटर बनाएं** कार्रवाई एक नया सुरक्षा इवेंट मॉनिटर खोलती है जो फ़ीड के निष्कर्ष गिनता है: इवेंट क्लास `Detection Finding`, `status200.threat.feed_id` में फ़ीड की id से फ़िल्टर किया हुआ (कभी उसका नाम नहीं, जो नाम बदलने पर बदल जाएगा), पिछले एक घंटे पर। इसे मिलानों में अचानक उछाल के लिए, या किसी व्यस्त फ़ीड के शांत हो जाने के लिए इस्तेमाल करें।

## प्रतिधारण और बिलिंग

संकेतक कॉन्फ़िगरेशन हैं, टेलीमेट्री नहीं, और उनका बिल इन्जेस्ट किए गए डेटा के रूप में नहीं बनता। मिलान से लिखे गए निष्कर्ष सामान्य सुरक्षा इवेंट हैं, जिनका बिल बाकी की तरह बनता है और जो बाकी की तरह रखे जाते हैं: देखें [सुरक्षा इवेंट](/docs/telemetry/security-events#प्रतिधारण-और-बिलिंग)।

## समस्या निवारण

:::details पोल के बाद Last Error सेट है
`401` या `403`: क्रेडेंशियल गलत हैं या मौजूद नहीं हैं; उन्हें **Update Credentials** से बदलें। `403` का मतलब यह भी हो सकता है कि प्रदाता का फ़ायरवॉल यूज़र एजेंट को रोक रहा है। `404`: **TAXII API Root URL** जाँचें, जो आम तौर पर `/api1/` जैसे पथ पर खत्म होता है, और **Collection ID** भी। अगले सफल पोल पर त्रुटि हट जाती है।
:::

:::details फ़ीड पोल होती है, लेकिन कोई संकेतक नहीं दिखता
**Last Poll Summary** पढ़ें। कोई ऑब्जेक्ट नहीं आया: कलेक्शन खाली है या कोई संकेतक प्रकाशित नहीं करता। असमर्थित पैटर्न: प्रदाता ऐसी पैटर्न सुविधाएँ इस्तेमाल करता है जिन्हें यह पेज छोड़ी गई बताता है। न्यूनतम confidence से कम: **Minimum Confidence** घटाएँ। पहले से निष्क्रिय: प्रदाता ने ऐसे संकेतक भेजे जो पहले ही रद्द हो चुके थे या जिनकी समय-सीमा खत्म हो चुकी थी।
:::

:::details संकेतक मौजूद हैं, लेकिन कुछ मेल नहीं खाता
मिलान संकेतक के मान की तुलना इवेंट के observable से करता है, हर फ़ील्ड से नहीं: **इवेंट** में कोई ऐसा इवेंट खोलें जिसके मेल खाने की आपको उम्मीद थी, और जाँचें कि उसके observable में वह मान है। सिर्फ़ **सक्रिय** स्थिति वाले संकेतक मेल खाते हैं। अगर फ़ीड की **स्थिति** में **मिलान विफल रहा** दिखे, तो उसकी पंक्ति में **त्रुटि देखें** वजह दिखाता है।
:::

:::details सूची फ़ीड की पिछली त्रुटि कहती है कि पते ने एक वेब पेज लौटाया
**सूची URL** सूची नहीं, बल्कि कोई पेज खोलता है, जैसे साइन-इन या त्रुटि पेज: उसे ब्राउज़र में खोलें और खुद फ़ाइल का पता कॉपी करें। जिस सूची के टेक्स्ट में कोई IP पता, डोमेन, URL या फ़ाइल हैश न हो, वह भी इसी तरह अस्वीकार होती है, और फ़ीड के संकेतक जैसे थे वैसे ही रहते हैं।
:::

:::details Google SecOps फ़ीड की पिछली त्रुटि HTTP 403 कहती है
कनेक्शन का सर्विस अकाउंट संकेतक मिलान नहीं खोज सकता: उसे `roles/chronicle.viewer` दें। अगर कनेक्शन हटा दिया गया था, तो फ़ीड यही बताती है: उसे संपादित करें और दूसरा **Google SecOps कनेक्शन** चुनें।
:::

:::details मिलान हुआ, लेकिन कोई अलर्ट नहीं खुला
**अलर्ट और घटनाएं** में **घटना घोषित करें** या **कोई नहीं** चुना है, या उसी फ़ीड और मान का अलर्ट अभी भी खुला है, और बाद के मिलान उसी में जुड़ जाते हैं। किसी फ़ीड के अलर्ट खोलने के लिए प्रोजेक्ट में कम से कम एक अलर्ट गंभीरता होनी चाहिए।
:::

## अगले कदम

:::cards
- [सुरक्षा इवेंट](/docs/telemetry/security-events): इवेंट भेजें, उन्हें खोजें और पहचान नियम लिखें।
- [Google SecOps](/docs/integrations/google-secops): Chronicle की पहचान और इवेंट ले आएँ।
- [अनुमति संदर्भ](/docs/permissions/reference): Security भूमिकाएँ, और हर एक क्या कर सकती है।
:::