调查

调查本质上是 安全数据湖 中仪表板、日志、搜索和事件（统称为"证据"）的集合体，所有内容均集中归组。您可以新建、更新、删除或归档调查。

调查页面设有三个主菜单：

以下说明详细介绍了如何通过 安全数据湖 手动创建新调查。若需根据已定义事件的警报自动生成新调查，请参阅 相关文档 .

创建新调查后，下一步是添加证据。可将仪表板、日志、已保存搜索和事件（包括异常检测生成的事件）作为证据实体添加。

本节详述如何手动添加证据；但您也可选择根据已定义事件创建的警报，自动向现有调查添加证据。相关流程详情请参阅 调查与警报 .

已保存搜索

可通过点击搜索栏右侧省略号图标，选择添加到当前调查或其他现有调查，直接将 已保存搜索 作为证据添加至调查。

注意

保存搜索时可选择绝对时间范围或相对时间范围。详见 相对时间范围章节 了解更多详情。

关联资产是在检索单个调查时从日志和事件证据中提取的。这些资产会通过 associated_assets 字段随调查结果一同返回。

调查时间线功能可显示构成调查的关键事件和消息。它提供按时间顺序排列的记录以跟踪进展和发现。要在时间线上查看调查详情，请切换到每个单独调查页面上的 时间线 视图。

该视图可帮助您直观了解警报环境。例如，您可以选择查看过去一周发生的事件，以深入了解正在进行的调查。您可以扩大或缩小时间范围以聚焦特定时段。要放大时间线中的任何证据，请点击并拖动光标标记时段。点击右上角的 重置范围 按钮可重置时间线范围。

时间线上会显示与调查相关的所有消息和事件。每个圆点代表一张证据卡片。点击圆点时，相关卡片会高亮显示。您可以过滤时间线中显示的证据，仅展示消息、事件或两者。当某时段存在多个相关证据时，圆点颜色会加深。高亮圆点表示 事件卡片正在视图中 .

时间线下方的证据卡片包含作为证据添加到调查中的日志消息和事件详情。点击每张卡片右上角的下拉箭头可查看所选数据的详细信息。这些卡片会显示消息或事件字段值等细节。

证据卡片为事件提供 重播搜索 功能。该功能可显示与搜索相关的所有消息。对于消息证据卡片，您可以点击 永久链接 查看详细消息视图。

点击 显示相似项 可展示具有相似字段的消息和事件。点击 重置 （位于时间线小部件右上角）。

作为 安全数据湖 集成威胁调查功能的一部分，您可以直接从检测链中将事件添加到正在进行的调查中。这有助于关联相关发现、保留上下文信息，并加速事件分类与响应。

通过选择检测链中触发的规则关联事件，您还能构建反映完整可疑活动序列的证据集，例如横向移动、命令行执行或权限提升。

将检测链事件作为证据添加到调查的步骤：

添加后，这些事件将出现在关联调查时间线中。您可将其与事件过程、关联资产等其他证据进行关联分析。

向调查添加证据后，可将其分配给其他用户或团队。分配操作可在创建新调查时进行，也可通过编辑现有调查实现。您还可通过 分配给 下拉菜单将调查分配给自己。

假设您已完成调查并准备结案。请通过 调查 页面：

此操作将结束未结调查。但已关闭的调查仍可编辑，并可分配给用户或团队。

若要彻底关闭调查（使其不可访问），必须进行归档操作：

此操作会将调查从 未结 选项卡移至 已归档 选项卡。此时您无法对已归档的调查进行任何编辑。

如果调查被错误归档：

您还可以通过从 已归档 选项卡中勾选要恢复的调查，然后点击 批量操作 按钮下拉菜单，并选择 恢复 来批量恢复已归档的调查。这将把已归档的调查恢复到 进行中 选项卡。

您可以在 调查 菜单中执行批量归档、分配和删除任务。

要执行批量操作，请导航至 调查 页面，通过点击复选框选择调查，然后点击 批量操作 下拉菜单以分配、归档或删除多个调查。

调查包含AI驱动的报告功能，可分析提交的事件和日志以生成详细报告，包括关键发现和推荐的防御措施。要生成AI报告，调查必须包含至少三条日志，且您的 安全数据湖 环境必须能够访问公共互联网。

创建新AI报告的步骤：

安全数据湖 包含 两个角色 用于管理调查相关用户权限： 权限管理

搜索通常使用相对时间线进行，例如“过去一小时内的所有内容”。鉴于此，当您决定将保存的搜索作为调查证据时， 安全数据湖 将提示您选择将记录时间转换为绝对时间或保持相对搜索。选择转换为相对时间会导致系统复制您保存的搜索，保留绝对时间参数，并将该保存的搜索标记为 绝对时间 。这使您可根据需要灵活选用任一搜索方式。

在调查笔记中使用Markdown

调查笔记配备定制Markdown编辑器。该编辑器通过支持标题、项目符号、表格、编号列表、代码片段及超链接等功能，显著提升笔记结构化与排版体验。

Markdown编辑器预览功能可让您查看最终呈现效果，便于在保存前修正错误与不一致之处。