监控 playbook 效果

本文档概述了 Google Security Operations 平台中的关键位置，这些位置可让您详细了解剧本的执行情况和效果：

• Playbook 页面上的 Playbook 监控：监控功能可让客户充分利用自动化功能。此界面会针对每个单独的剧本显示。
• “支持请求”页面上的 playbook 侧边抽屉：摘要功能可最大限度地缩短分析师在处理支持请求时做出决策所需的时间。此界面会以侧边抽屉的形式显示在支持请求页面上，对应于每个正在运行的 playbook。
• 响应健康状况中心： 提供平台范围内的 playbook 性能、执行延迟时间、队列积压、自动化有效性以及跨环境的集成健康状况的可视化信息。

这种可见性对于审核、调试错误和确认工作流成功完成至关重要。

访问 playbook 监控工具

playbook 监控侧边抽屉式导航栏可在 playbook 页面上针对每个 playbook 使用。 

在 Playbook 页面上，点击 Playbook 监控，打开所选 playbook 的侧边抽屉。

playbook 监控侧边抽屉包含以下信息：

• 运行次数：在定义的时间段内，playbook 或 playbook 块的运行次数。千位将用 K 表示，百万位将用 M 表示。如果将 playbook 代码块作为 playbook 的一部分添加到现有提醒中，则该代码块不会被计入。
• 冗余：playbook 或 playbook 块因超出每个提醒一个自动添加的 playbook 的限制而未能运行的次数。如果该数量大于 1，则表明您应使用逻辑块或其他步骤来修改 playbook，以管理执行限制。
• 已关闭的提醒：此 playbook 关闭的提醒所占的百分比。
• 平均运行时间：相应 playbook 的平均运行时间。此统计信息有助于识别 playbook 中的薄弱环节，例如手动操作和经常出错的步骤。
• playbook 运行状态饼图：此图表以累积视图的形式显示指定时间段内的 playbook 状态，共有四种可能的结果：成功完成、失败、等待用户操作或已终止。点击图表的任意部分，即可查看搜索结果页面，其中列出了处于相应状态且包含 playbook 的支持请求。
• playbook 趋势折线图：此折线图会显示已完成、失败、终止和总运行次数，从而跟踪 playbook 的效果。您可以使用此功能来评估新剧本的性能，或验证最近对现有剧本所做的改进带来的影响。将指针悬停在折线上的任意点，即可查看详细指标。例如，如果您发现某剧本上个月仅运行了 20 次，请优化其触发逻辑，使其更具选择性。然后，您可以查看 Playbook 趋势图表，确认在您做出更改后，playbook 的成功率有所提高。
• “环境”条形图：显示相应 playbook 运行的所有环境。点击每个部分可返回到搜索结果页面。

访问 playbook 摘要

如需访问 Playbook 摘要，请按以下步骤操作：

1. 在支持请求页面上，选择一个支持请求，点击相应提醒，然后点击 playbook 标签页。
2. 点击左侧带有超链接的 playbook 名称。系统会打开 playbook 摘要侧边抽屉。其中会显示以下信息：
• playbook 名称和状态
• playbook 运行的时间和时长
• 待处理的操作：当 playbook 等待安全工程师采取行动时，平台会在 playbook 摘要顶部醒目地显示通知，并向相关用户发送推送通知。
• 集成：平台会显示 playbook 使用的所有集成的列表。点击集成会突出显示剧本查看器中的相应步骤，让分析师立即专注于该部分。
• playbook 流程：详细视图，显示了运行的每个步骤及其状态和步骤结果。
• 错误：遇到的所有错误的列表。在总结横幅中，系统会突出显示导致 playbook 停止的错误，而跳过或非严重错误则会显示在底部。如需查看完整详情，请点击任意错误以查看日志页面，您还可以在该页面上重新运行失败的操作或整个 playbook。

playbook 恢复机制

playbook 执行引擎包含一个自我修复机制，用于恢复卡在执行状态的 playbook（例如，由于意外的后端中断）。如果 playbook 处于未完成状态的时间超过配置的超时时间（默认值为 48 小时），系统会自动重启该 playbook，并从上次待处理的步骤恢复执行。