我们已重新整理文档导航结构，使其与您的运营工作流程直接保持一致。如需了解详情，请参阅版本说明和演示视频。

Google 会使用 AI 技术将内容翻译成您偏好的语言。AI 翻译可能包含错误。

调查提醒和实体上下文

支持的平台：

Google SecOps SIEM

本指南适用于想要通过提醒识别相关活动并评估风险配置的调查人员。您可以使用本指南了解如何从提醒透视到实体的时间轴。成功调查可缩短复杂突发事件的初步诊断时间，并帮助您优先处理高影响威胁。

常见使用场景

本部分列出了一些常见的使用场景。

目标：通过评估相关实体的风险概况，确定哪些提醒需要立即上报。这种方法通过识别对组织构成最大威胁的提醒，超越了按时间顺序处理的范畴。

工作流程：

效果：有限的 SOC 资源可以优先关注影响重大的威胁。

目标：通过跟踪与提醒相关的活动，全面了解突发事件。通过跟踪整个环境中的相关活动，您可以绘制出被盗用的系统和账号之间的关系，直观地了解威胁的迁移方式。

工作流程：

结果：一份全面的突发事件地图，可确定受影响的系统和账号。

目标：通过将 UDM 事件与正常行为历史记录的基准进行比较，主动识别恶意行为。您可以识别内部通信和访问模式中细微的异常情况，这些异常情况表明攻击者正在网络中移动。

工作流程：

效果：及早检测到绕过基于签名的提醒的威胁。

请确保您已做好以下准备：

完成以下步骤，手动将提醒与风险配置文件相关联，并分析相关资产的历史活动。

确定与提醒相关的特定资产或用户，以便为调查确定起点。

前往提醒页面。
在检测结果表格中，点击提醒名称以打开提醒页面。

注意：如果输入表格仅显示文件哈希，您将看不到直接的资产 ID。您必须使用该哈希值运行 UDM 搜索，以确定与其关联的特定资产。
找到输入表格。
- 如果表格包含实体，请执行以下操作：
  1. 点击实体名称以打开实体上下文标签页。
  2. 指明相关实体（例如，特定哈希、IP 地址或资产名称）。
  3. 复制资产 ID 或用户名。
- 如果表格包含检测或事件，请执行以下操作：
  1. 对于检测结果，请点击检测行以查看底层事件。
  2. 点击相应活动行，打开活动查看器标签页。
  3. 在实体标签页中，确定相关实体（例如，特定哈希、IP 地址或资产名称）。
  注意：如果仅显示哈希，请运行 UDM 搜索，以确定与该哈希关联的特定资源。
  1. 复制提醒中指明的资产 ID 或用户名。

使用提醒中显示的标识符，在分析信息中心内访问实体的更广泛的风险概况。

注意：如果您忽略时间轴，只查看单个提醒，可能会错过重叠的检测模式，而这些模式可能表明存在更大规模的协同威胁。

本部分概述了性能预期，并针对常见的调查问题提供了自助式修复方案。

请注意，由于同步延迟，新事件与时间轴的相关性大约需要 10-15 分钟才能建立。请避免在此期间重新运行搜索或提交支持服务工单。

请使用下表解决常见的调查缺口。

问题	说明	修复
缺少资产 ID	您的提醒仅显示文件哈希或 IP 地址，而没有关联的素材资源。	针对该哈希或 IP 运行 UDM 搜索，以确定关联的 `principal.asset_id`。
空时间轴	相应实体存在于风险分析中，但未列出任何检测结果。	确保实体已触发检测。如果已启用，请验证 ECG 提取流水线是否处于活跃状态。

调查结束后，您可以选择使用 UDM 搜索来验证时间轴中发现的特定事件是否以原始日志的形式存在，从而确认关联的准确性。