安全事件

安全数据湖中的 过滤与聚合条件 允许您基于筛选和聚合日志消息的标准来定义事件。这涉及设置条件来过滤传入消息，然后将其聚合以确定它们是否符合指定的阈值或模式。

例如，聚合事件类型可能包括：

事件关联条件允许您基于跨多个来源或流的日志消息的关系或序列来创建事件。这涉及定义识别事件模式或序列的条件，而不是简单的聚合。

例如，事件关联类型可能包括：

页面顶部设有搜索栏，可通过关键词检索安全事件。如需进一步筛选搜索结果，可使用过滤器定位特定事件或警报。

过滤器能精准缩小安全事件范围，便于聚焦关键数据。通过时间戳、优先级、规则类型或MITRE ATT&CK技术等属性筛选，可快速隔离相关警报进行调查，或深入分析特定安全事件。本节说明如何有效运用过滤器来优化 安全数据湖 .

筛选安全事件步骤：

应用筛选条件后，其会显示为 筛选器 下拉菜单旁的标签。可多选组合筛选条件以实现精准定位。

在 警报 页面的警报列表中，点击选定警报可直接执行操作，展开窗口后可进行以下操作：

本例中，安全分析师希望通过告警筛选器识别异常访问模式的特定告警。分析师可以：

本场景中，新入职的安全分析师Sally正在加强组织的安全事件监控。为此，她定义了一个监控登录失败事件，用于检测潜在的暴力破解或未授权访问尝试。该事件定义会在5分钟内同一IP地址出现超过5次登录失败时触发告警，并发送邮件通知。

要通过 安全数据湖 网页界面创建此事件定义，Sally需访问 安全数据湖 安全 > 安全事件 并点击 创建事件定义 按钮（位于 事件定义 页面右上角）。通过事件定义向导，萨莉按如下方式配置事件定义：

事件定义已配置，以下是其详细信息摘要：

随后，Sally收到由“失败登录尝试”事件定义触发的邮件通知警报。

该警报显示存在高 风险评分 ，因此她立即优先处理此警报，将警报状态从 新建 改为 调查中 ，并将警报分配给自己作为负责人，同时 通过将警报添加至新调查来创建调查 。接着Sally继续向团队发送 通知 ，方法是点击警报中的 发送通知 按钮，同时阅读修复步骤并深入调查问题。

为启动调查，Sally点击警报左上角的 重放搜索 按钮，对事件运行搜索查询并深入分析日志数据。此时Sally已掌握关于警报性质、关联资产、事件来源、用户名及其他与调查相关的重要信息。

Sally结合组织针对潜在暴力攻击的事件响应预案及警报中的修复步骤，成功调查该安全事件并阻止了暴力攻击。

调查结束后，Sally将警报状态更新为“已关闭”，至此完成整个工作流程。