调查

调查本质上是 安全数据湖 内仪表盘、日志、搜索和事件（统称"证据"）的集合体，所有内容均集中归组。您可以新建、更新、删除或归档调查。

调查页面设有三个主菜单：

以下说明详细介绍了如何通过 安全数据湖 手动创建新调查。若需根据已定义事件的警报自动生成新调查，请参阅 相关文档 .

创建新调查后，下一步是添加证据。您可将仪表板、日志、已保存搜索和事件（包括异常检测生成的事件）作为证据实体添加。

本节详述手动添加证据的方法；但您也可选择基于定义事件生成的警报自动向现有调查添加证据。相关流程详见 调查与警报 .

已保存搜索

您可通过点击搜索栏右侧省略号图标，选择添加到当前调查或其他现有调查，从而将 已保存的搜索 作为调查证据，可直接从保存的搜索中添加，方法是点击搜索栏右侧的省略号图标，并选择添加到当前调查或其他现有调查。

注意

保存搜索时可以选择绝对时间范围和相对时间范围。详见 相对时间范围章节 以获取更多详情。

检索单个调查时，关联资产会从日志和事件证据中提取。这些资产通过 associated_assets 字段随调查结果返回。

调查时间线功能可展示调查中的关键事件和消息，提供按时间排序的记录以追踪进展和发现。要查看时间线上的调查详情，请切换至 时间线 视图（位于每个调查详情页）。

该视图可帮助您直观理解告警环境。例如，您可以选择查看过去一周的事件以了解持续调查的情况。可自由调整时间范围：扩大以观察更长时间跨度，或缩小以聚焦特定时段。要放大时间线中的证据，请点击并拖动光标标记时段。点击右上角的 重置范围 按钮可恢复默认时间范围。

时间线会显示所有与调查相关的消息和事件。每个圆点代表一张证据卡片。点击圆点时，相关卡片会高亮显示。可筛选时间线显示的证据类型（消息/事件/全部）。当某时段存在多条证据时，圆点颜色会加深。高亮圆点表示 事件卡片正在视图中 .

时间线下方的证据卡片包含作为证据添加到调查中的日志消息和事件详情。点击卡片右上角的下拉箭头可查看所选数据的详细信息，包括消息或事件字段值等内容。

证据卡片提供事件的 搜索重放 功能，可查看与该搜索相关的所有消息。对于消息证据卡片，可点击 固定链接 以调出详细消息视图。

点击 显示相似项 可展示具有相似字段的消息和事件。点击 重置 可清除此筛选条件，该按钮位于时间线组件右上角。

作为 安全数据湖 集成化威胁调查功能的一部分，您可直接将检测链中的事件添加至活跃调查。这有助于关联相关发现、保留上下文信息并加速事件分类与响应。

通过选择检测链中触发规则关联的事件，您还能构建反映完整可疑活动序列的证据集，例如横向移动、命令行执行或权限提升。

将检测链事件作为证据添加至调查的步骤：

添加后，这些事件将出现在关联调查时间线中，您可将其与事件过程、关联资产等其他证据进行关联分析。

向调查添加证据后，可将其分配给其他用户或团队。分配操作可在创建新调查时执行，也可通过编辑现有调查完成。您还可通过 分配给 下拉菜单将调查分配给自己。

假设您已完成调查并准备关闭调查。在您的 调查 页面：

这将结束一个开放的调查。然而，已关闭的调查仍可编辑，并可分配给用户或团队。

要完全关闭调查，使其无法访问，您必须归档调查：

此操作会将调查从 开放 标签页移至 已归档 标签页。此时您无法对已归档的调查进行任何编辑。

如果调查被误归档：

您还可以通过从 已归档 标签页勾选需要恢复的调查复选框，然后点击 批量操作 按钮下拉菜单，并选择 恢复 来批量恢复已归档调查。这将把已归档调查恢复到 开放 标签页。

您可以在 调查 菜单中执行批量归档、分配和删除任务。

要执行批量操作，请导航至 调查 页面，通过勾选复选框选择调查项，然后点击 批量操作 下拉菜单以分配、归档或删除多个调查。

调查功能包含AI驱动的报告生成功能，可分析提交的事件和日志以生成详细报告，包括关键发现和推荐的防御措施。要生成AI报告，调查必须包含至少三条日志，且您的 安全数据湖 环境需能访问公共互联网。

创建新AI报告的步骤：

安全数据湖 包含 两种角色 用于调查相关的用户权限： 权限管理

搜索常使用相对时间线（如“过去一小时内的所有记录”）。因此，当您决定将已保存搜索作为调查证据时， 安全数据湖 会提示您选择将记录时间转换为绝对时间或保持相对搜索。选择转换为相对时间后，系统将复制您的已保存搜索，保留绝对时间参数，并将该搜索标记为 绝对时间 。您可根据需要灵活选用两种搜索模式。

在调查备注中使用Markdown

调查备注配备定制化Markdown编辑器。该编辑器支持标题、项目符号、表格、编号列表、代码片段和超链接等功能，大幅提升笔记的结构化与格式化体验。

Markdown编辑器预览功能可显示最终渲染效果，便于您在保存前修正错误与格式偏差。