使用 SOAR 報表
Looker 探索是 Google Security Operations 中的互動式資料分析工具，可讓您建構自訂報表和圖表，不必編寫複雜的程式碼。這些記錄是進階報表的基礎，可彈性分析安全性資料。本文不會說明如何建立及編輯 Looker 探索。如要進一步瞭解探索，請參閱「建立及編輯 Looker 探索」。
如需這些報表使用的基礎資料欄位和資料欄名稱的完整參考資料，請參閱 Siemplify Search Everything 資料庫。
探索進階 SOAR 報表
您可以在「進階 SOAR 報表」分頁中找到 Looker 探索，每個探索都提供專門的資料和視覺化功能，可用於建構進階報表。
預設進階 SOAR 報表是一組資訊主頁和報表，可協助追蹤 SOC 效能、案件處理、分析人員工作負載和自動化效率。這些報表提供環境的概略和詳細深入分析，支援從每日監控到高階主管摘要的各種用途。
許多報表需要特定標記或設定，才能確保資料準確，這些資訊會註明在各項說明中。
本節將說明這些常用報表。每份報告都包含視覺化資訊主頁，可協助您根據資料做出決策，並持續改善 SOC。表格下方會顯示重要報表的成效。
報表類型 |
說明 |
|---|---|
快訊和實體 |
監控及分析實體、警示、案件和事件。這項工具提供重要指標和篩選選項，協助您瞭解安全性資料。您可以：
找出案件中的事件： 使用「事件」標記找出案件中的事件。 |
分析師案件量追蹤工具 |
顯示特定時間分析師的工作負載分配情形，協助您監控 SOC 的人員配置和成效。
|
案件 |
監控及分析從建立到結案的案件。並提供詳細資訊，協助您追蹤整個案件生命週期。您可以：
|
案件和警示 |
結合案件和快訊資料，協助您分析安全事件如何處理成案件，包括：
|
案件記錄 |
追蹤案件的整個生命週期，詳細分析案件處理效率和流程時間軸。
|
自訂報表 |
摘要資訊主頁，可概略瞭解重要營運領域的 SOC 涵蓋範圍。 必要條件：
|
管理階層資訊主頁 |
這個資訊主頁可用於監控主要成效指標 (KPI)，並彙整事件數量、解決時間、服務等級協議 (SLA) 遵循情況和其他主要指標。 必要條件：
|
代管偵測與應變 |
適合用於每日、每週或每月報表。以精簡格式追蹤快訊、案件建立、分類、解決和服務水準協議資料，例如：
必要條件：
|
每月威脅監控 |
每月警報摘要，包括受影響的產品、警報嚴重程度和其他重要指標。 |
MTTX 資訊主頁 |
這個時間追蹤資訊主頁會顯示重要案件生命週期階段之間的經過時間，包括從建立案件到特定事件處理階段的開始和結束時間。您可以自訂 stages 和 timestamps 等參數。 |
分析人員工作負載報表 |
以視覺化方式呈現 SOC 工作負載指標，例如警告和事件分布、未結案和已結案案件趨勢、警告分組效能，以及偽陽性趨勢。請參閱成效詳細資料。 |
成效處理時間報表 |
追蹤從建立案件到將案件指派給使用者的平均時間，以及各個維度 (例如團隊、快訊類型和回應階段) 的平均修復時間 (MTTR)，深入瞭解營運效率。請參閱成效詳細資料和範例。 |
教戰手冊分析報告 |
評估自動化成效，並突顯依據應對手冊採取的行動如何提升 SOC 效能及縮短處理時間。請參閱成效詳細資料。 |
投資報酬率報表 |
單一頁面的資訊主頁，可量化自動化作業節省的時間和精力。包括自動與手動動作的細目，以及這些動作在各產品中的分布情形。 |
資安營運中心報告 |
這份報表專為管理多個用戶群的客戶 (例如 MSSP) 而設計，支援切換用戶群和彈性時間篩選。簡潔的圖表非常適合用於每週或每月摘要。 |
資安態勢和感應器成效報告 |
提供威脅趨勢和感應器效能的長期變化，協助找出偽陽性並微調感應器設定。請參閱成效詳細資料。 |
整體結案追蹤記錄層級成效 |
這個資訊主頁會追蹤 SOC 中不同層級的案件數量和解決情況。 |
層級成效 |
追蹤特定時間範圍內的快訊數量，分析任何 SOC 角色類別的效率。
|
查看資訊主頁案件 |
提供案件管理和成效的完整檢視畫面，整合案件、快訊、實體、階段進展和分析師指派詳細資料。這個檢視畫面支援使用標記維度和指標進行深入分析。這項探索提供各種成效追蹤 KPI 和詳細搜尋選項，包括：
|
探索進階 SOAR 報表的成效分析
每份報告都包含視覺化資訊主頁，可協助您根據資料做出決策，並持續改善 SOC。
成效處理時間報表
這份報表會醒目顯示案件在應變生命週期各階段停留的時間。包括從建立案件到指派給使用者的平均時間、平均修復時間 (MTTR)，以及按資安營運中心角色或階段計算的平均處理時間等指標。這些洞察資料有助於團隊找出延遲、評估作業效率，以及改善案件分類和修復工作流程。
- 平均偵測時間 (MTTD)：在這個資訊主頁中，MTTD 代表從案件建立到指派給使用者的平均時間。
格式：days-hours-minutes-seconds
如果案件未指派，小工具會顯示0。 - 平均修復時間 (MTTR)：從案件建立到進入修復階段的平均時間。
格式：days-hours-minutes-seconds
如果沒有修復階段，小工具會顯示N/A。 - 資安營運中心 (SOC) 角色的平均處理時間：顯示資安營運中心角色從指派案件到結案或重新指派案件，平均花費的時間。
- 各階段的平均處理時間：顯示每個階段的平均時間，從階段開始到案件結案或移至不同階段為止。
- 平均分類時間：依日期顯示不同規則的分類階段平均處理時間
- Avg. handling time triage stage：依日期顯示分類階段的平均處理時間。
- 各資安營運中心 (SOC) 角色在各日期的平均處理時間：顯示各資安營運中心 (SOC) 角色在各日期的平均處理時間。
分析人員工作負載報表
「Analyst Workload」(分析師工作負載) 報表可讓您瞭解快訊、事件和案件在規則中的分布情形，以及這些項目對 SOC 分析師工作負載的影響。有助於找出警報量、案件狀態、誤判和案件處理時間的趨勢，讓團隊能調整人力配置、規則和回應效率。
- 各項規則的快訊分布情形：顯示各規則類型的快訊分布情形和百分比。
- Event Distribution across rules (規則事件分布)：顯示各規則類型的事件百分比。
- 未結案案件與已結案案件：顯示未結案案件和已結案案件的數量分布。
- 案件與快訊：顯示案件和快訊數量的分布情形。
- 偽陽性與處理時間：雙軸圖表會顯示偽陽性率與平均處理時間的比較結果。
- 偽陽率是指所有案件中，非惡意案件所占的百分比。
- 平均處理時間是指從建立案件到結案所經過的時間。
- 圖表只會顯示已結案案件的資訊。
資安態勢和感應器成效報表
「資安態勢和感應器效能」報告著重於環境中偵測規則和安全感應器的成效。這項報表會依規則和產品顯示警告的分布情況、追蹤一段時間內的警告量，並以視覺化方式呈現偽陽率。這些洞察資料有助於評估偵測涵蓋範圍、找出有干擾的規則或成效不佳的產品，以及微調資安態勢。
- 依規則劃分的快訊百分比：顯示依規則類型劃分的快訊分布情形和百分比。
- 依日期和規則顯示的快訊數量：顯示一段時間內依規則類型分類的快訊數量。
- % of alerts by product (各產品快訊百分比)：顯示各產品快訊的分佈情形和百分比。
- 各產品的每日快訊數量：顯示各產品的每日快訊數量。
- 偽陽率與產品比較：顯示各產品類型的偽陽率。
- 偽陽率是指所有案件中，非惡意案件所占的百分比。
- 圖表只會顯示已結案案件的相關資訊。
應對手冊分析
「應對手冊分析」報表會評估透過應對手冊執行的自動化作業成效。這份報告會列出最常自動處理的快訊、自動結案的熱門快訊，並比較有/無應對手冊自動化功能的快訊偽陽率和處理時間。運用這些洞察資料評估自動化對案件解決的影響，並找出擴大應對手冊涵蓋範圍的機會。
- 前 10 大自動化快訊：顯示自動化快訊百分比最高的前 10 項規則。自動化快訊是指自動連結至應對手冊的快訊。
- 自動化功能關閉的前 10 項快訊：顯示前 10 項規則，這些規則的快訊有最高比例是透過劇本自動關閉。圖表只會顯示已結案案件的資訊。
- 非自動快訊的誤判率與處理時間：
如果快訊沒有自動附加的應對手冊，這個小工具會顯示雙軸圖表，比較誤判率和平均處理時間。
- 圖表只會顯示已結案案件的相關資訊。
- 這張圖表僅包含已結案案件的資料，如果沒有未連結應對手冊的快訊，圖表就會空白。
在 Looker 中管理進階 SOAR 報表
指派存取權和權限
在「權限」頁面，您可以為使用者指派下列權限：
- 查看：勾選「View Advanced Reports」核取方塊，即可授予「Advanced Reports」分頁中報表的查看權限。
- 編輯：選取「允許編輯進階報表」核取方塊，即可授予建立、編輯、複製、共用、下載及刪除進階報表的權限。
所有平台使用者都能透過「報表」分頁存取進階報表，不需事先設定。
管理進階報表
「進階報表」分頁提供下列資料夾：
- 預設 (僅限管理員)：無法直接編輯的預先定義報表。不過，您可以將這些檔案複製到其他資料夾進行編輯。
- 個人：您使用 Looker 元件自行建立的報表。您也可以從「預設」Default或「已共用」Shared資料夾複製及儲存報表。
- 共用：您建立並與他人共用的報表，或他人建立並與您共用的報表。
您可以與其他使用者共用進階報表、將報表複製到不同資料夾或環境，或是重新命名您建立或複製的報表，藉此管理進階報表。本節說明如何在「Advanced Reports」(進階報表) 介面中執行這些動作。
分享報表
- 按一下「分享」 。
- 選取要分享報表的環境。
- 選用：勾選對應的方塊，授予僅供檢視使用者存取權。
重複報表
- 按一下「content_copy」 content_copy 「複製報表」。
- 選取目標資料夾和所需環境。
- 選用：為複製的報表重新命名。
重新命名 Looker 報表
只有個人或共用資料夾中的重複報表可以重新命名。
- 開啟要重新命名的報表。
- 按一下「更多」more_vert資訊主頁動作，然後選取「編輯資訊主頁」。
- 點按報表名稱欄位，輸入新名稱，然後按一下「儲存」。
在進階報表中使用自訂欄位
您可以在進階報表中使用 Google SecOps 建立的自訂欄位，進一步瞭解案件和快訊。如要瞭解如何在 Looker 報表中使用自訂欄位，包括 LookML 公式和篩選技術，請參閱「管理自訂欄位」。
使用 SOAR 探索建立報表
您可以選取相關欄位，在 SOAR 探索中定義及顯示特定資料。SOAR 探索與標準 Looker 資訊主頁類似，但包含其他 SOAR 專屬欄位。詳情請參閱「在資訊主頁中新增圖表視覺化效果」。
如要使用 SOAR 探索功能建立報表，請按照下列步驟操作：
- 依序前往「資訊主頁和報表」>「SOAR 報表」。
- 按一下「進階報表」。
- 按一下「 新增報表」。
- 在「Create new report」(建立新報表) 對話方塊中，輸入報表名稱、選取資料夾，然後選擇環境。
- 按一下「建立」，顯示新報表。
- 選取報表，然後按一下「編輯資訊主頁」。
- 按一下報表名稱下方的「新增」。
- 在清單中選取「圖表」。
- 在「選擇探索」對話方塊中，選擇相關的 SOAR 探索，存取報表專用的資料欄位。
- 在「所有欄位」分頁中，選取與報表相關的維度和指標。
- 視需要自訂報表，然後按一下「儲存」。圖表圖塊會新增至資訊主頁。
注意：如要編輯每個資訊主頁動態磚，請按一下資訊主頁動態磚中的「編輯」。
疑難排解提示
「進階報表」頁面可能會顯示下列錯誤：
You are not authenticated to view this page.
如果已通過驗證，但仍看到這則錯誤訊息，可能是因為瀏覽器封鎖了 Looker Cookie。
啟用 Looker Cookie 的方法會因瀏覽器而異。
如要啟用 Looker Cookie，並在 Google Chrome 中存取「Advanced reports」(進階報表) 頁面，請按照下列步驟操作：
- 在頁面的任何位置按一下滑鼠右鍵，並選取「檢查」。
- 按一下其中一份報表，然後將網址複製到剪貼簿。
- 在 Chrome 中，依序前往「設定」>「隱私權和安全性」>「第三方 Cookie」。
- 在「允許使用第三方 Cookie」中，按一下「新增」並貼上 Looker 網址。
現在應該可以存取及查看進階報表。
已知問題和限制
SOAR 進階報表有下列已知問題和限制：
- 刪除報表：「資訊主頁動作」選單中的「移至垃圾桶」選項無法運作。如要刪除報表，請按一下報表上方的「Delete Report」(刪除報表)。
- 在排定傳送時間時立即測試：「立即測試」動作無法運作。如要測試報表傳送功能，請在「時間表」對話方塊中，按一下「立即傳送」。
- 合併查詢限制：使用「合併查詢」動作的報表無法匯出或匯入。
還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。