安全事件

安全数据湖中的 过滤与聚合条件 允许您根据筛选和聚合日志消息的标准来定义事件。这包括设置条件以过滤传入消息，然后聚合它们以确定是否符合指定的阈值或模式。

例如，聚合事件类型可能包括：

事件关联条件允许您基于跨多个来源或流的日志消息的关系或序列创建事件。这涉及定义识别事件模式或序列的条件，而不是简单的聚合。

例如，事件关联类型可能包括：

在页面顶部，您会找到一个搜索栏，旨在帮助您通过关键字搜索安全事件。为了进一步深入搜索结果，您可以使用过滤器查找特定事件或警报。

过滤器允许您精确缩小安全事件范围，从而更容易关注最重要的数据。通过应用基于时间戳、优先级、规则类型或MITRE ATT&CK技术等属性的过滤器，您可以快速隔离相关警报进行调查或深入特定安全事件。本节介绍如何有效使用过滤器以简化 安全数据湖 .

筛选安全事件的步骤如下：

当应用筛选器时，它会以标签形式显示在 筛选器 下拉菜单旁。可选择并组合多个筛选器以实现精准定位。

在 警报 页面上显示的警报列表中，您可以通过点击选定的警报执行直接操作，并从展开的窗口中您可以：

本例中，安全分析师希望通过告警过滤器识别异常访问模式的特定告警。分析师可以：

本场景中，新入职的安全分析师Sally正在加强组织的安全事件监控。为此，她定义了一个监控登录失败事件，用于检测潜在的暴力破解或未授权访问尝试。当单个IP地址在五分钟内出现超过五次登录失败时，该事件定义将触发告警并发送邮件通知。

要通过 安全数据湖 网页界面创建此事件定义，Sally需导航至 安全数据湖 安全 > 安全事件 并点击 创建事件定义 按钮位于 事件定义 页面右上角。通过事件定义向导，萨莉按如下方式配置事件定义：

事件定义配置完成，以下是其详细信息摘要：

随后，莎莉收到一封由“登录失败尝试”事件定义触发的电子邮件通知警报。

该警报显示存在高 风险评分 ，因此她立即优先处理此警报，将警报状态从 新建 改为 调查中 ，并将警报分配给自己作为负责人，同时 通过将警报添加至新调查来创建调查 。接着，莎莉继续向团队发送 通知 ——在阅读修复步骤并深入调查问题时，点击警报内的 发送通知 按钮完成操作。

为启动调查，莎莉点击警报左上角的 重播搜索 按钮对事件运行搜索查询并挖掘日志数据。此时，莎莉已掌握关于警报性质、关联资产、事件来源、用户名及其他与调查相关重要信息的上下文。

莎莉结合组织内部关于应对潜在暴力攻击的事件响应手册及警报中的修复步骤，成功调查该安全事件并阻断了暴力攻击。

当调查结束且莎莉将警报状态更新为“已关闭”后，整个工作流程即告完成。