如何用Python向Lima Charlie推送误报规则并调试生成器结果

我有一个存储误报规则的文件，想用Python推送到Lima Charlie。按照python-limacharlie文档里的Configs.push方法写了代码，但调用后返回的是generator对象，没法直接判断规则是否推送成功，求调试方法。

false_positive_rules.yml

rules:
  This_Is_Fine.exe:
    detect:
      event: NEW_PROCESS
      rules:
      - op: ends with
        path: detect/event/FILE_PATH
        value: this_is_fine.exe
    version: 3
version: 3

Python代码

# Read FP rule
with open("datasets/false_positive_rules.yml", 'r') as stream:
    try:
        data_dict = yaml.safe_load(stream)
    except yaml.YAMLError as exc:
        print(exc)
print(f"\n{data_dict}")

# Create an instance of the SDK.
man = limacharlie.Manager(oid=os.environ["LC_OID"], secret_api_key=os.environ["LC_API_KEY"])

# Push rule
result = limacharlie.Configs.push(self, fromConfigFile=data_dict, isDryRun=True, isFPs=True, isOutputs=True)

# Print result
print(result)
print(type(result))

终端输出

{'rules': {'This_Is_Fine.exe': {'detect': {'event': 'NEW_PROCESS', 'rules': [{'op': 'ends with', 'path': 'detect/event/FILE_PATH', 'value': 'this_is_fine.exe'}]}, 'version': 3}}, 'version': 3}
<generator object Configs.push at 0x000001918392F370>
<class 'generator'>

1. 修正方法调用方式 #

你的代码里直接调用limacharlie.Configs.push并传入self是错误的，应该用已创建的Manager实例的configs属性来调用方法，SDK的组件方法需要通过实例访问：

2. 处理generator对象获取结果 #

python-limacharlie的push方法返回generator是为了分批处理多规则的推送结果，需要迭代遍历才能拿到具体的推送状态：

修改后的代码示例：

import yaml
import os
import limacharlie

# Read FP rule
with open("datasets/false_positive_rules.yml", 'r') as stream:
    try:
        data_dict = yaml.safe_load(stream)
    except yaml.YAMLError as exc:
        print(exc)
print(f"\n{data_dict}")

# Create an instance of the SDK.
man = limacharlie.Manager(oid=os.environ["LC_OID"], secret_api_key=os.environ["LC_API_KEY"])

# 修正调用方式：通过manager实例的configs组件调用push
results = man.configs.push(fromConfigFile=data_dict, isDryRun=True, isFPs=True, isOutputs=True)

# 遍历generator获取每条规则的推送结果
for res in results:
    print(f"规则推送状态: {res}")
    # 判断是否成功
    if res.get('success', False):
        print("✅ 规则推送成功")
    else:
        print(f"❌ 推送失败，原因: {res.get('error', '未知错误')}")

3. 额外调试技巧 #

• 开启SDK调试日志，查看完整的HTTP交互细节，确认请求数据和API响应：

import logging
logging.basicConfig(level=logging.DEBUG)

• 保持isDryRun=True先做模拟推送，验证规则格式是否符合Lima Charlie要求，确认无误后再改为False执行实际推送。

内容的提问来源于stack exchange，提问作者Europa