查询 SOAR 案例历史记录

支持的服务：

本文档面向安全运维中心 (SOC) 经理和分析人员，他们希望使用精选的信息中心（预定义的信息中心，旨在提供各种安全应用场景的可见性）监控威胁形势和系统健康状况。本文档提供了一系列精选的信息中心及其针对 SOAR 案例历史记录 来源类型的底层查询。

您可以在查询编辑器中使用这些查询，也可以将其用作自定义 widget 的基准。 如需了解如何创建和管理信息中心， 请参阅管理信息中心。

信息中心名称 说明 图表名称 查询
CIS 控制项合规性概览 提供 CIS 合规性指标（例如资产准确性和备份可靠性）的集中视图。使用这些数据分析来加强安全治理并跟踪修复进度。 平均解决时间 (MTTR) 
stage stage1{
$case_id = case_history.case_response_platform_info.case_id
match:
    $case_id
outcome:
    $case_close_time = max(if(case_history.case_activity = "CLOSE_CASE", case_history.event_time.seconds, 0))
    $status = array_distinct(case_history.case_activity)
    $TTC = $case_close_time - min(case_history.event_time.seconds)
condition:
    arrays.contains($status, "CREATE_CASE") and arrays.contains($status, "CLOSE_CASE")
    
    }
outcome:
    $case_count = count($stage1.case_id)
    $MTTC = math.abs(math.round(avg($stage1.TTC)/60))
案例和突发事件分析 (SOAR) 提供案例管理和突发事件响应的集中视图，使团队能够更快地解决威胁并持续提高运营效率。 重新开启的案例 
case_history.case_activity = "REOPEN_CASE"

outcome:
    $Count = count(case_history.name)
SOC 工作流监控 (SOAR) 集中跟踪提醒检测、突发事件处理和案例管理指标。使用这些数据分析来优化资源、提高响应效率并遵守服务等级协议。 MTTA（确认时间）- 分钟 
stage stage1{
$case_id = case_history.case_response_platform_info.case_id
match:
    $case_id
outcome:
    $case_assign_time = min(if(case_history.case_activity = "ASSIGNEE_CHANGE", case_history.event_time.seconds, 9999999999999999))
    $status = array_distinct(case_history.case_activity)
    $TTA = $case_assign_time - min(case_history.event_time.seconds)
    
condition:
    arrays.contains($status, "CREATE_CASE") and arrays.contains($status, "ASSIGNEE_CHANGE") 
    }
outcome:
    $case_count = count($stage1.case_id)
    $MTTA = (math.round((avg($stage1.TTA)/60)))
SOC 工作流监控 (SOAR) 集中跟踪提醒检测、突发事件处理和案例管理指标。使用这些数据分析来优化资源、提高响应效率并遵守服务等级协议。 MTTR（解决时间，以分钟为单位）- 过去 7 天 
stage stage1{
$case_id = case_history.case_response_platform_info.case_id
match:
    $case_id
outcome:
    $case_close_time = max(if(case_history.case_activity = "CLOSE_CASE", case_history.event_time.seconds, 0))
    $status = array_distinct(case_history.case_activity)
    $TTC = $case_close_time - min(case_history.event_time.seconds)
condition:
    arrays.contains($status, "CREATE_CASE") and arrays.contains($status, "CLOSE_CASE")
    
    }
outcome:
    $case_count = count($stage1.case_id)
    $MTTC = (math.round(avg($stage1.TTC)/60))
SOC 工作流监控 (SOAR) 集中跟踪提醒检测、突发事件处理和案例管理指标。使用这些数据分析来优化资源、提高响应效率并遵守服务等级协议。 MTTI（调查时间，以分钟为单位）- 过去 7 天 
stage stage1{
$case_id = case_history.case_response_platform_info.case_id
match:
    $case_id
outcome:
    $case_close_time = max(if(case_history.case_activity = "CLOSE_CASE", case_history.event_time.seconds, 0))
    $case_assign_time = min(if(case_history.case_activity = "ASSIGNEE_CHANGE", case_history.event_time.seconds, 9999999999999999))
    $status = array_distinct(case_history.case_activity)
    $TTI = $case_close_time - $case_assign_time
condition:
    arrays.contains($status, "CREATE_CASE") and arrays.contains($status, "CLOSE_CASE")
    AND arrays.contains($status, "ASSIGNEE_CHANGE") 
    }
outcome:
    $case_count = count($stage1.case_id)

    $MTTI = (math.round(avg($stage1.TTI)/60))
SOC 工作流监控 (SOAR) 集中跟踪提醒检测、突发事件处理和案例管理指标。使用这些数据分析来优化资源、提高响应效率并遵守服务等级协议。 超出服务等级协议范围的案例总数 
case_history.case_activity = "EXCEEDED_SLA"
case_history.sla_type = "CASE_SLA"

outcome:
   $Count = count(case_history.case_activity)
安全管理概览 集中显示响应效果和运营趋势。它有助于安全团队跟踪进度并做出明智的决策，以加强安全状况。 按案例阶段划分的处理时间 - 过去 7 天 
case_history.assignee.soc_roles != ""

$Case_ID = case_history.case_response_platform_info.case_id
$Case_Stage = case_history.stage

match:
    $Case_Stage

outcome:
    $Handling_Time_Minutes = (max(case_history.event_time.seconds) - min(case_history.event_time.seconds)) / 60
安全管理概览 集中显示响应效果和运营趋势。它有助于安全团队跟踪进度并做出明智的决策，以加强安全状况。 MTTA（确认时间，以分钟为单位）- 过去 7 天 
stage stage1{
$case_id = case_history.case_response_platform_info.case_id
match:
    $case_id
outcome:
    $case_assign_time = min(if(case_history.case_activity = "ASSIGNEE_CHANGE", case_history.event_time.seconds, 9999999999999999))
    $status = array_distinct(case_history.case_activity)
    $TTA = $case_assign_time - min(case_history.event_time.seconds)
    
condition:
    arrays.contains($status, "CREATE_CASE") and arrays.contains($status, "ASSIGNEE_CHANGE") 
    }
outcome:
    $case_count = count($stage1.case_id)
    $MTTA = (math.round((avg($stage1.TTA)/60)))
安全管理概览 集中显示响应效果和运营趋势。它有助于安全团队跟踪进度并做出明智的决策，以加强安全状况。 案例创建与关闭率 - 过去 7 天 
case_history.case_activity = "CREATE_CASE" 
or case_history.case_activity = "CLOSE_CASE"

$Case_Activity = case_history.case_activity
$Date = timestamp.get_date(case_history.event_time.seconds) 

match: 
    $Date, $Case_Activity

outcome: 
    $Count = count_distinct(case_history.case_response_platform_info.case_id)

order:
    $Date desc
安全管理概览 集中显示响应效果和运营趋势。它有助于安全团队跟踪进度并做出明智的决策，以加强安全状况。 MTTR（解决时间，以分钟为单位）- 过去 7 天 
stage stage1{
$case_id = case_history.case_response_platform_info.case_id
match:
    $case_id
outcome:
    $case_close_time = max(if(case_history.case_activity = "CLOSE_CASE", case_history.event_time.seconds, 0))
    $status = array_distinct(case_history.case_activity)
    $TTC = $case_close_time - min(case_history.event_time.seconds)
condition:
    arrays.contains($status, "CREATE_CASE") and arrays.contains($status, "CLOSE_CASE")
    
    }
outcome:
    $case_count = count($stage1.case_id)
    $MTTC = (math.round(avg($stage1.TTC)/60))
安全管理概览 集中显示响应效果和运营趋势。它有助于安全团队跟踪进度并做出明智的决策，以加强安全状况。 MTTI（调查时间，以分钟为单位）- 过去 7 天 
stage stage1{
$case_id = case_history.case_response_platform_info.case_id
match:
    $case_id
outcome:
    $case_close_time = max(if(case_history.case_activity = "CLOSE_CASE", case_history.event_time.seconds, 0))
    $case_assign_time = min(if(case_history.case_activity = "ASSIGNEE_CHANGE", case_history.event_time.seconds, 9999999999999999))
    $status = array_distinct(case_history.case_activity)
    $TTI = $case_close_time - $case_assign_time
condition:
    arrays.contains($status, "CREATE_CASE") and arrays.contains($status, "CLOSE_CASE")
    AND arrays.contains($status, "ASSIGNEE_CHANGE") 
    }
outcome:
    $case_count = count($stage1.case_id)

    $MTTI = (math.round(avg($stage1.TTI)/60))

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。