SOAR-Fälle abfragen

Unterstützt in:

Dieses Dokument richtet sich an Manager und Analysten von Security Operations Centern (SOC), die Bedrohungslandschaften und den Systemzustand mithilfe von kuratierten Dashboards überwachen möchten. Diese vordefinierten Dashboards bieten Transparenz für verschiedene Sicherheitsanwendungsfälle. Dieses Dokument enthält eine Sammlung kuratierter Dashboards und der zugrunde liegenden Abfragen für den Quelltyp SOAR-Vorgänge.

Sie können diese Abfragen im Abfrageeditor oder als Grundlage für benutzerdefinierte Widgets verwenden. Informationen zum Erstellen und Verwalten von Dashboards finden Sie unter Dashboards verwalten.

Dashboard-Name Beschreibung Diagrammname Abfrage
Übersicht über die Compliance mit CIS-Kontrollen Bietet eine zentrale Ansicht von CIS-Compliance-Messwerten wie Asset-Genauigkeit und Backup-Zuverlässigkeit. Mit diesen Informationen können Sie die Sicherheits-Governance stärken und den Fortschritt bei der Fehlerbehebung verfolgen. Fallverteilung nach Priorität – offene Fälle 
case.status = "OPENED"

$Priority = case.priority

match:
    $Priority

outcome:
    $Count = count(case.name)

order:
    $Count desc
Fall- und Vorfallanalysen (SOAR) Bietet eine zentrale Ansicht für Fallmanagement und Incident Response, sodass Teams Bedrohungen schneller beheben und die betriebliche Effizienz kontinuierlich verbessern können. Die zehn wichtigsten MITRE-Taktiken nach Vorfall 
case.incident = true
case.alerts.metadata.tags = /TA[0-9]+/

$Tactic = case.alerts.metadata.tags

match:
    $Tactic

outcome:
    $Count = count(case.name)

order:
    $Count desc

limit:
    10
Case- und Incident-Analysen (SOAR) Bietet eine zentrale Ansicht für das Fallmanagement und Incident Response, sodass Teams Bedrohungen schneller beheben und die betriebliche Effizienz kontinuierlich verbessern können. Top 10 der Vorfälle nach Fallphase 
case.incident = true

$Stage = case.stage

match:
    $Stage

outcome:
    $Count = count(case.name)

order:
    $Count desc

limit:
    10
Fall- und Vorfallanalysen (SOAR) Bietet eine zentrale Ansicht für das Fallmanagement und Incident Response, sodass Teams Bedrohungen schneller beheben und die betriebliche Effizienz kontinuierlich verbessern können. Verteilung von Fall-Tags 
$Case_Tag = case.tags.name

match:
    $Case_Tag

outcome:
    $Count = count(case.name)

order:
    $Count desc
Case- und Incident-Analysen (SOAR) Bietet eine zentrale Ansicht für Fallmanagement und Incident Response, sodass Teams Bedrohungen schneller beheben und die betriebliche Effizienz kontinuierlich verbessern können. Umgebungen insgesamt 
outcome:
    $Count = count_distinct(case.environment)
Case- und Incident-Analysen (SOAR) Bietet eine zentrale Ansicht für Fallmanagement und Incident Response, sodass Teams Bedrohungen schneller beheben und die betriebliche Effizienz kontinuierlich verbessern können. Wichtige Fälle insgesamt 
case.important = true
outcome:
    $Count = count(case.name)
Case- und Incident-Analysen (SOAR) Bietet eine zentrale Ansicht für Fallmanagement und Incident Response, sodass Teams Bedrohungen schneller beheben und die betriebliche Effizienz kontinuierlich verbessern können. Verteilung der Vorfallstatus 
case.incident = true

$Status = case.status

match:
    $Status

outcome:
    $Count = count(case.name)

order:
    $Count desc
Case- und Incident-Analysen (SOAR) Bietet eine zentrale Ansicht für das Fallmanagement und Incident Response, sodass Teams Bedrohungen schneller beheben und die betriebliche Effizienz kontinuierlich verbessern können. Verteilung der Fallstatus 
$Status = case.status

match:
    $Status

outcome:
    $Count = count(case.name)

order:
    $Count desc
Case- und Incident-Analysen (SOAR) Bietet eine zentrale Ansicht für Fallmanagement und Incident Response, sodass Teams Bedrohungen schneller beheben und die betriebliche Effizienz kontinuierlich verbessern können. Supportanfragen mit hoher Priorität 
case.priority = "PRIORITY_CRITICAL"
or case.priority = "PRIORITY_HIGH"

$Timestamp_Daily = timestamp.get_date(case.create_time.seconds)
$Priority = case.priority

match:
    $Timestamp_Daily, $Priority

outcome:
    $Count = count(case.name)

order:
    $Timestamp_Daily desc
Fall- und Vorfallanalysen (SOAR) Bietet eine zentrale Ansicht für das Fallmanagement und Incident Response, sodass Teams Bedrohungen schneller beheben und die betriebliche Effizienz kontinuierlich verbessern können. Top 10 der Vorfälle nach Fall-Tag 
case.incident = true

$Case_Tag = case.tags.name

match:
    $Case_Tag

outcome:
    $Count = count(case.name)

order:
    $Count desc

limit:
    10
Fall- und Vorfallanalysen (SOAR) Bietet eine zentrale Ansicht für das Fallmanagement und Incident Response, sodass Teams Bedrohungen schneller beheben und die betriebliche Effizienz kontinuierlich verbessern können. Fallverteilung nach Priorität – geschlossene Fälle 
case.status = "CLOSED"

$Priority = case.priority

match:
    $Priority

outcome:
    $Count = count(case.name)

order:
    $Count desc
Case- und Incident-Analysen (SOAR) Bietet eine zentrale Ansicht für das Fallmanagement und Incident Response, sodass Teams Bedrohungen schneller beheben und die betriebliche Effizienz kontinuierlich verbessern können. Details zu den letzten Vorfällen 
case.incident = true

$Case_ID = case.response_platform_info.response_platform_id
$Case_Name = case.display_name
$Case_Creation_Time = timestamp.get_timestamp(case.create_time.seconds, "%F %T ")
$Last_Stage = case.stage
$Case_Status = case.status
$Last_Handled_Analyst = strings.concat(case.last_modifying_user.given_name, " ", case.last_modifying_user.family_name)
$Case_Closed = case.closure_details.reason
$Root_Cause = case.closure_details.root_cause

match:
    $Case_ID, $Case_Name, $Case_Creation_Time, $Last_Stage, $Case_Status, $Last_Handled_Analyst, $Case_Closed, $Root_Cause

order:
    $Case_Creation_Time desc
Fall- und Vorfallanalysen (SOAR) Bietet eine zentrale Ansicht für das Fallmanagement und Incident Response, sodass Teams Bedrohungen schneller beheben und die betriebliche Effizienz kontinuierlich verbessern können. Fälle im Zeitverlauf 
$Date = timestamp.get_date(case.create_time.seconds)

match:
    $Date

outcome:
    $Count = count(case.name)

order:
    $Date desc
Fall- und Vorfallanalysen (SOAR) Bietet eine zentrale Ansicht für das Fallmanagement und Incident Response, sodass Teams Bedrohungen schneller beheben und die betriebliche Effizienz kontinuierlich verbessern können. Fallstatistiken 
$Timestamp_Month = timestamp.get_timestamp(case.create_time.seconds, "%Y-%m")

match:
    $Timestamp_Month

outcome:
    $Alert_Count = count(case.alerts.metadata.id)
    $Cases_Count = count_distinct(case.name)
    $High_Priority_Case_Count = sum(if(case.priority = "PRIORITY_HIGH" or case.priority = "PRIORITY_CRITICAL", 1, 0))
    $Incident_Count = sum(if(case.incident = true, 1, 0))
    $High_Priority_Incident_Count = sum(if(case.incident = true and (case.priority = "PRIORITY_HIGH" or case.priority = "PRIORITY_CRITICAL"), 1, 0))

order:
    $Timestamp_Month desc
Fall- und Vorfallanalysen (SOAR) Bietet eine zentrale Ansicht für Fallmanagement und Incident Response, sodass Teams Bedrohungen schneller beheben und die betriebliche Effizienz kontinuierlich verbessern können. Verteilung der Gründe für das Schließen von Vorfällen 
case.incident = true

$Reason = case.closure_details.reason

match:
    $Reason

outcome:
    $Count = count(case.name)

order:
    $Count desc
Case- und Incident-Analysen (SOAR) Bietet eine zentrale Ansicht für das Fallmanagement und Incident Response, sodass Teams Bedrohungen schneller beheben und die betriebliche Effizienz kontinuierlich verbessern können. Verteilung der Schweregrade von Vorfällen 
case.incident = true

$Severity = case.alerts.metadata.detection.severity

match:
    $Severity

outcome:
    $Count = count(case.name)

order:
    $Count desc
Fall- und Vorfallanalysen (SOAR) Bietet eine zentrale Ansicht für das Fallmanagement und Incident Response, sodass Teams Bedrohungen schneller beheben und die betriebliche Effizienz kontinuierlich verbessern können. Vorfälle im Zeitverlauf 
case.incident = true

$Date = timestamp.get_date(case.create_time.seconds)

match:
    $Date

outcome:
    $Count = count(case.name)

order:
    $Date desc
Fall- und Vorfallanalysen (SOAR) Bietet eine zentrale Ansicht für das Fallmanagement und Incident Response, sodass Teams Bedrohungen schneller beheben und die betriebliche Effizienz kontinuierlich verbessern können. Verteilung der Vorfallprioritäten 
case.incident = true

$Priority = case.priority

match:
    $Priority

outcome:
    $Count = count(case.name)

order:
    $Count desc
Case- und Incident-Analysen (SOAR) Bietet eine zentrale Ansicht für das Fallmanagement und Incident Response, sodass Teams Bedrohungen schneller beheben und die betriebliche Effizienz kontinuierlich verbessern können. Top-10-MITRE-Techniken nach Vorfall 
case.incident = true
case.alerts.metadata.tags = /T[0-9]+/

$Technique = case.alerts.metadata.tags

match:
    $Technique

outcome:
    $Count = count(case.name)

order:
    $Count desc

limit:
    10
Fall- und Vorfallanalysen (SOAR) Bietet eine zentrale Ansicht für Fallmanagement und Incident Response, sodass Teams Bedrohungen schneller beheben und die betriebliche Effizienz kontinuierlich verbessern können. Top 10 der Fall-Tags 
$Case_Tag = case.tags.name

match:
    $Case_Tag

outcome:
    $Count = count(case.tags.name)

order:
    $Count desc

limit:
    10
Case- und Incident-Analysen (SOAR) Bietet eine zentrale Ansicht für das Fallmanagement und Incident Response, sodass Teams Bedrohungen schneller beheben und die betriebliche Effizienz kontinuierlich verbessern können. Liste der Umgebungen 
$Environment = case.environment

match:
    $Environment
Fall- und Vorfallanalysen (SOAR) Bietet eine zentrale Ansicht für Fallmanagement und Incident Response, sodass Teams Bedrohungen schneller beheben und die betriebliche Effizienz kontinuierlich verbessern können. Top 10 der Vorfälle nach Ursache 
case.incident = true

$Root_Cause = case.closure_details.root_cause

match:
    $Root_Cause

outcome:
    $Count = count(case.name)

order:
    $Count desc

limit:
    10
Case- und Incident-Analysen (SOAR) Bietet eine zentrale Ansicht für das Fallmanagement und Incident Response, sodass Teams Bedrohungen schneller beheben und die betriebliche Effizienz kontinuierlich verbessern können. Top 10 der geschlossenen Fälle 
case.status = "CLOSED"

$Case = case.display_name

match:
    $Case

outcome:
    $Count = count(case.name)

order:
    $Count desc

limit:
    10
Fall- und Vorfallanalysen (SOAR) Bietet eine zentrale Ansicht für Fallmanagement und Incident Response, sodass Teams Bedrohungen schneller beheben und die betriebliche Effizienz kontinuierlich verbessern können. Fälle mit niedriger Priorität 
case.priority = "PRIORITY_MEDIUM"
or case.priority = "PRIORITY_LOW"
or case.priority = "PRIORITY_INFO"

$Timestamp_Daily = timestamp.get_date(case.create_time.seconds)
$Priority = case.priority

match:
    $Timestamp_Daily, $Priority

outcome:
    $Count = count(case.name)

order:
    $Timestamp_Daily desc
Case- und Incident-Analysen (SOAR) Bietet eine zentrale Ansicht für das Fallmanagement und Incident Response, sodass Teams Bedrohungen schneller beheben und die betriebliche Effizienz kontinuierlich verbessern können. Fallaktionen im Zeitverlauf 
$Date = timestamp.get_date(case.create_time.seconds)
$Stage = case.stage

match:
    $Date, $Stage

outcome:
    $Count = count(case.name)

order:
    $Date desc
Fall- und Vorfallanalysen (SOAR) Bietet eine zentrale Ansicht für Fallmanagement und Incident Response, sodass Teams Bedrohungen schneller beheben und die betriebliche Effizienz kontinuierlich verbessern können. Fallverteilung nach Priorität – Offene Fälle 
case.status = "OPENED"

$Priority = case.priority

match:
    $Priority

outcome:
    $Count = count(case.name)

order:
    $Count desc
Fall- und Vorfallanalysen (SOAR) Bietet eine zentrale Ansicht für Fallmanagement und Incident Response, sodass Teams Bedrohungen schneller beheben und die betriebliche Effizienz kontinuierlich verbessern können. Offene Vorfälle insgesamt 
case.incident = true
case.status = "OPENED"

outcome:
    $Count = count(case.name)
Fall- und Vorfallanalysen (SOAR) Bietet eine zentrale Ansicht für Fallmanagement und Incident Response, sodass Teams Bedrohungen schneller beheben und die betriebliche Effizienz kontinuierlich verbessern können. Verteilung der Fallprioritäten 
$Priority = case.priority

match:
    $Priority

outcome:
    $Count = count(case.name)

order:
    $Count desc
Fall- und Vorfallanalysen (SOAR) Bietet eine zentrale Ansicht für Fallmanagement und Incident Response, sodass Teams Bedrohungen schneller beheben und die betriebliche Effizienz kontinuierlich verbessern können. Geschlossene Vorfälle insgesamt 
case.incident = true
case.status = "CLOSED"

outcome:
    $Count = count(case.name)
Fall- und Vorfallanalysen (SOAR) Bietet eine zentrale Ansicht für das Fallmanagement und Incident Response, sodass Teams Bedrohungen schneller beheben und die betriebliche Effizienz kontinuierlich verbessern können. Verteilung der Gründe für Schließen des Falls 
$Reason = case.closure_details.reason

match:
    $Reason

outcome:
    $Count = count(case.name)

order:
    $Count desc
FEDRAMP Continuous Monitoring Bietet Einblick in FedRAMP-Compliancemesswerte und das Tracking von Sicherheitslücken. Nutzen Sie diese Informationen, um Abhilfemaßnahmen zu priorisieren und einen starken Sicherheitsstatus zu gewährleisten. Fallverteilung nach Priorität – geschlossene Fälle 
case.status = "CLOSED"

$Priority = case.priority

match:
    $Priority

outcome:
    $Count = count(case.name)

order:
    $Count desc
FEDRAMP Continuous Monitoring Bietet Einblick in FedRAMP-Compliance-Messwerte und die Verfolgung von Sicherheitslücken. Nutzen Sie diese Informationen, um Abhilfemaßnahmen zu priorisieren und einen starken Sicherheitsstatus zu gewährleisten. Fallverteilung nach Priorität – Offene Fälle 
case.status = "OPENED"

$Priority = case.priority

match:
    $Priority

outcome:
    $Count = count(case.name)

order:
    $Count desc
HIPAA-Dashboard Bietet Einblick in den PHI-Zugriff und potenzielle HIPAA-Verstöße, um ein proaktives Risikomanagement zu unterstützen. Achten Sie darauf, dass die Datentabelle ePHI_assets.Hostname erstellt wird, damit Diagramme geladen werden können. Verteilung der offenen Fälle nach Priorität 
case.status = "OPENED"

$Priority = case.priority

match:
    $Priority

outcome:
    $Count = count(case.name)

order:
    $Count desc
ISO27001 – Organisatorische Kontrollen Echtzeit-Tracking von ISO 27001-Prüfmesswerten und Sicherheitskontrollen zur Identifizierung von Lücken und zur Aufrechterhaltung der Compliance. Hinweis: Filter sind erforderlich, um die Ergebnisse einzugrenzen. Top 10 der Analysten nach geschlossenen Vorfällen 
case.status = "CLOSED"
case.incident = true

$Analyst = strings.concat(case.assignee.given_name, " ", case.assignee.family_name)

match:
    $Analyst

outcome:
    $Count = count(case.name)

order:
    $Count desc

limit:
    10
ISO 27001 – Organisatorische Kontrollen Ermöglicht das Echtzeit-Tracking von ISO 27001-Audit-Messwerten und Sicherheitskontrollen, um Lücken zu identifizieren und die Compliance aufrechtzuerhalten. Hinweis: Filter sind erforderlich, um die Ergebnisse einzugrenzen. Durchschnittliche Zeit bis zur Schließung von Anfragen nach Priorität 
case.status = "CLOSED"

$Case_Closed_Time = if(case.status = "CLOSED", case.update_time.seconds, 0)
$Priority = case.priority

match:
    $Priority

outcome:
    $Case_Create_Time = min(case.create_time.seconds)
    $Case_Close_Time = min($Case_Closed_Time)
    $Closure_Time = math.round((($Case_Close_Time - $Case_Create_Time)/60), 2)

order:
    $Priority desc

unselect:
    $Case_Create_Time, $Case_Close_Time
SOC-Workflow-Monitoring (SOAR) Bietet zentrales Tracking von Messwerten zur Benachrichtigungserkennung, Vorfallsbehandlung und Fallverwaltung. Anhand dieser Statistiken können Sie Ressourcen optimieren, die Effizienz der Reaktion verbessern und die Einhaltung von SLAs sicherstellen. Zeitpunkt des Schließens des Falls 
$Case_ID = case.response_platform_info.response_platform_id
$Case_Close_Time_ = if(case.status = "CLOSED", case.update_time.seconds, 0)
$Priority = case.priority

match:
    $Case_ID, $Priority

outcome:
    $Case_Create_Time = min(case.create_time.seconds)
    $Case_Close_Time = min($Case_Close_Time_)
    $Closure_Time = ($Case_Close_Time - $Case_Create_Time)/60

order:
    $Closure_Time desc

unselect:
    $Case_Create_Time, $Case_Close_Time
SOC-Workflow-Monitoring (SOAR) Ermöglicht die zentrale Nachverfolgung von Messwerten für die Benachrichtigungserkennung, die Vorfallsbearbeitung und die Fallverwaltung. Anhand dieser Statistiken können Sie Ressourcen optimieren, die Effizienz der Reaktion verbessern und die Einhaltung von SLAs sicherstellen. Anzahl der automatisch bearbeiteten Vorfälle insgesamt 
case.closure_details.case_closed_action = "AUTOMATIC"
case.incident = true

outcome:
    $Count = count(case.incident)
SOC-Workflow-Monitoring (SOAR) Bietet ein zentrales Tracking von Messwerten zur Benachrichtigungserkennung, Vorfallsbehandlung und Fallverwaltung. Anhand dieser Statistiken können Sie Ressourcen optimieren, die Effizienz der Reaktion verbessern und die Einhaltung von SLAs sicherstellen. Leistung des Analysten 
case.assignee.email != ""

$User = case.assignee.email

match:
    $User

outcome:
    $Open_Cases_Count = sum(if(case.status="OPENED", 1, 0))
    $Closed_Cases_Count = sum(if(case.status="CLOSED", 1, 0))
SOC-Workflow-Monitoring (SOAR) Ermöglicht die zentrale Nachverfolgung von Messwerten für die Benachrichtigungserkennung, die Vorfallsbearbeitung und die Fallverwaltung. Anhand dieser Informationen können Sie Ressourcen optimieren, die Effizienz der Bedrohungsabwehr verbessern und die Einhaltung von SLAs gewährleisten. Automatisch vs. manuell behandelte Vorfälle im Zeitverlauf 
case.closure_details.case_closed_action = "MANUALLY"
or case.closure_details.case_closed_action = "AUTOMATIC"

case.incident = true

$Date = timestamp.get_date(case.create_time.seconds)

match:
    $Date, case.closure_details.case_closed_action

outcome:
    $Count = count(case.incident)
SOC-Workflow-Monitoring (SOAR) Bietet zentrales Tracking von Messwerten zur Benachrichtigungserkennung, Vorfallsbehandlung und Fallverwaltung. Anhand dieser Statistiken können Sie Ressourcen optimieren, die Effizienz der Reaktion verbessern und die Einhaltung von SLAs sicherstellen. Zusammenfassung zum Schließen von Anfragen 
case.status = "CLOSED"

$Case_ID = case.response_platform_info.response_platform_id
$Case_Create_Timestamp = timestamp.get_timestamp(case.create_time.seconds, "%F %T ")
$Case_Close_Timestamp = timestamp.get_timestamp(case.update_time.seconds, "%F %T ")
$Case_Close_Time_ = if(case.status = "CLOSED", case.update_time.seconds, 0)

match:
    $Case_ID, $Case_Create_Timestamp, $Case_Close_Timestamp

outcome:
    $Case_Create_Time = min(case.create_time.seconds)
    $Case_Close_Time = min($Case_Close_Time_)
    $Closure_Time = ($Case_Close_Time - $Case_Create_Time)/60

order:
    $Case_ID desc

unselect:
    $Case_Create_Time, $Case_Close_Time
SOC-Workflow-Monitoring (SOAR) Ermöglicht die zentrale Nachverfolgung von Messwerten für die Benachrichtigungserkennung, die Vorfallsbearbeitung und die Fallverwaltung. Anhand dieser Statistiken können Sie Ressourcen optimieren, die Effizienz der Reaktion verbessern und die Einhaltung von SLAs sicherstellen. Insgesamt manuell bearbeitete Vorfälle 
case.closure_details.case_closed_action = "MANUALLY"
case.incident = true

outcome:
    $Count = count(case.incident)
SOC-Workflow-Monitoring (SOAR) Bietet zentrales Tracking von Messwerten zur Benachrichtigungserkennung, Vorfallsbehandlung und Fallverwaltung. Anhand dieser Statistiken können Sie Ressourcen optimieren, die Effizienz der Reaktion verbessern und die Einhaltung von SLAs sicherstellen. Top 10 der Analysten nach Vorfallschließung 
case.status = "CLOSED"
case.incident = true

$Analyst = strings.concat(case.assignee.given_name, " ", case.assignee.family_name)

match:
    $Analyst

outcome:
    $Count = count(case.name)

order:
    $Count desc

limit:
    10
SOC-Workflow-Monitoring (SOAR) Bietet zentrales Tracking von Messwerten zur Benachrichtigungserkennung, Vorfallsbehandlung und Fallverwaltung. Anhand dieser Informationen können Sie Ressourcen optimieren, die Effizienz der Bedrohungsabwehr verbessern und die Einhaltung von SLAs gewährleisten. Top 10 der Nutzer nach Fall 
case.alerts.entities.type = "USERUNIQNAME"

match:
    case.alerts.entities.type, case.alerts.entities.identifier

outcome:
    $Count = count_distinct(case.alerts.metadata.id)

order:
    $Count desc

limit:
    10
SOC-Workflow-Monitoring (SOAR) Bietet zentrales Tracking von Messwerten zur Benachrichtigungserkennung, Vorfallsbehandlung und Fallverwaltung. Anhand dieser Informationen können Sie Ressourcen optimieren, die Effizienz der Bedrohungsabwehr verbessern und die Einhaltung von SLAs gewährleisten. Durchschnittliche Zeit bis zur Schließung von Anfragen nach Priorität 
case.status = "CLOSED"

$Case_Close_Time_ = if(case.status = "CLOSED", case.update_time.seconds, 0)
$Priority = case.priority

match:
    $Priority

outcome:
    $Case_Create_Time = min(case.create_time.seconds)
    $Case_Close_Time = min($Case_Close_Time_)
    $Closure_Time = ($Case_Close_Time - $Case_Create_Time)/60

order:
    $Priority desc

unselect:
    $Case_Create_Time, $Case_Close_Time
SOC-Workflow-Monitoring (SOAR) Ermöglicht die zentrale Nachverfolgung von Messwerten für die Benachrichtigungserkennung, die Vorfallsbearbeitung und die Fallverwaltung. Anhand dieser Statistiken können Sie Ressourcen optimieren, die Effizienz der Reaktion verbessern und die Einhaltung von SLAs sicherstellen. Fallzuweisungen im Zeitverlauf 
case.assignee.email != ""

$User = case.assignee.email
$Date = timestamp.get_date(case.create_time.seconds)

match:
    $User, $Date

outcome:
    $Count = count_distinct(case.response_platform_info.response_platform_id)

order:
    $Count desc
SOC-Workflow-Monitoring (SOAR) Ermöglicht die zentrale Nachverfolgung von Messwerten für die Benachrichtigungserkennung, die Vorfallsbearbeitung und die Fallverwaltung. Anhand dieser Statistiken können Sie Ressourcen optimieren, die Effizienz der Reaktion verbessern und die Einhaltung von SLAs sicherstellen. Zusammenfassung der Benachrichtigungserkennung 
$Case_ID = case.response_platform_info.response_platform_id
$Alert = strings.coalesce(case.alerts.metadata.detection.threat_name, case.alerts.metadata.detection.rule_name)
$Alert_Generation_Timestamp = timestamp.get_timestamp(case.alerts.metadata.detection_time.seconds, "%F %T ")
$Alert_Detection_Timestamp = timestamp.get_timestamp(case.alerts.metadata.created_time.seconds, "%F %T ")

match:
    $Case_ID, $Alert, $Alert_Generation_Timestamp, $Alert_Detection_Timestamp

outcome:
    $Alert_Generation_Time = min(case.alerts.metadata.detection_time.seconds)
    $Alert_Detection_Time = min(case.alerts.metadata.created_time.seconds)
    $Detection_Delay = math.abs(($Alert_Detection_Time- $Alert_Generation_Time)/60)

order:
    $Alert_Generation_Time desc

unselect:
    $Alert_Generation_Time, $Alert_Detection_Time
Sicherheitsverwaltung – Übersicht Bietet einen zentralen Überblick über die Reaktionsleistung und betriebliche Trends. So können Sicherheitsteams Fortschritte verfolgen und fundierte Entscheidungen treffen, um den Sicherheitsstatus zu verbessern. Offene Anfragen nach Alter 
case.status = "OPENED"

match:
case.display_name, case.environment

outcome:
$Age = max(timestamp.current_seconds() - case.create_time.seconds)/86400
$Day_Range = if($Age >= 21, "> 3 Weeks",
if($Age >= 14 and $Age < 21, "2 Weeks",
if($Age >= 7 and $Age < 14, "1 Week",
if($Age <= 2 and $Age > 1, "2 Days",
if($Age < 1, "Same Day")))))

order:
$Age desc
Sicherheitsverwaltung – Übersicht Bietet einen zentralen Überblick über die Reaktionsleistung und betriebliche Trends. So können Sicherheitsteams Fortschritte verfolgen und fundierte Entscheidungen treffen, um den Sicherheitsstatus zu verbessern. Kundenvorgänge, die vor mehr als 7 Tagen zuletzt aktualisiert wurden 

case.status = "OPENED"

match:
    case.environment

outcome:
    $Age = (timestamp.current_seconds() - max(case.update_time.seconds))/86400
    $Day_Range = if($Age >= 21, ">3 Weeks",
                  if($Age >= 14, "2 Weeks",
                  if($Age >= 7, "1 Week")))
    $Count = count_distinct(case.name)

condition:
    $Age >= 7
Sicherheitsverwaltung – Übersicht Bietet einen zentralen Überblick über die Reaktionsleistung und betriebliche Trends. So können Sicherheitsteams Fortschritte verfolgen und fundierte Entscheidungen treffen, um den Sicherheitsstatus zu verbessern. Übersicht über Tags für offene Anfragen – 7 Tage 
case.status = "OPENED"
$Tag = case.tags.name
$Tag !=""

match:
    $Tag

outcome:
    $Count = count(case.response_platform_info.response_platform_id)

order:
    $Count desc
Übersicht über die Sicherheitsverwaltung Bietet zentralen Einblick in die Antwortleistung und operative Trends. Sie helfen Sicherheitsteams, den Fortschritt zu verfolgen und fundierte Entscheidungen zur Verbesserung des Sicherheitsstatus zu treffen. Analystenproduktivität (geschlossene Fälle) – 7 Tage 
case.assignee.email != ""

$User = case.assignee.email

match:
    $User

outcome:
    $Closed_Cases_Count = sum(if(case.status="CLOSED", 1, 0))

order:
    $Closed_Cases_Count desc
Übersicht über die Sicherheitsverwaltung Bietet zentralen Einblick in die Antwortleistung und operative Trends. Sie helfen Sicherheitsteams, den Fortschritt zu verfolgen und fundierte Entscheidungen zur Verbesserung des Sicherheitsstatus zu treffen. Offene Anfragen nach Umgebung – Letzte 7 Tage 
case.status = "OPENED"

$Date = timestamp.get_date(case.create_time.seconds)

match:
    $Date, case.environment

outcome:
    $count = count_distinct(case.response_platform_info.response_platform_id)
Übersicht über die Sicherheitsverwaltung Bietet zentralen Einblick in die Antwortleistung und operative Trends. So können Sicherheitsteams Fortschritte verfolgen und fundierte Entscheidungen treffen, um den Sicherheitsstatus zu verbessern. 
case.status = "CLOSED"

outcome:
 $Count = count(case.name)
Sicherheitsverwaltung – Übersicht Bietet zentralen Einblick in die Antwortleistung und operative Trends. Sie helfen Sicherheitsteams, den Fortschritt zu verfolgen und fundierte Entscheidungen zur Verbesserung des Sicherheitsstatus zu treffen. Analysten-Arbeitslasten 
case.assignee.email != ""

$User = case.assignee.email
$Date = timestamp.get_date(case.create_time.seconds)

match:
    $User, $Date

outcome:
    $Count = count(case.response_platform_info.response_platform_id)
Sicherheitsverwaltung – Übersicht Bietet zentralen Einblick in die Antwortleistung und operative Trends. So können Sicherheitsteams Fortschritte verfolgen und fundierte Entscheidungen treffen, um den Sicherheitsstatus zu verbessern. 
case.status = "OPENED"
or case.status = "CLOSED"

outcome:
    $total = count_distinct(case.response_platform_info.response_platform_id)
Sicherheitsverwaltung – Übersicht Bietet zentralen Einblick in die Antwortleistung und operative Trends. Sie helfen Sicherheitsteams, den Fortschritt zu verfolgen und fundierte Entscheidungen zur Verbesserung des Sicherheitsstatus zu treffen. % Automatisierte Schließung – Letzte 7 Tage 
case.status = "CLOSED"

outcome:
    $TotalClosedCases = count_distinct(case.name)
    $AutoClosedCases = sum(if(case.closure_details.case_closed_action = "AUTOMATIC", 1, 0))
    $Automation_Rate = if($TotalClosedCases > 0, math.round(($AutoClosedCases / $TotalClosedCases) * 100, 0), 0)
Übersicht über die Sicherheitsverwaltung Bietet zentralen Einblick in die Antwortleistung und operative Trends. Sie helfen Sicherheitsteams, den Fortschritt zu verfolgen und fundierte Entscheidungen zur Verbesserung des Sicherheitsstatus zu treffen. Fallpriorität – Letzte 24 Stunden 
case.status = "OPENED"

$Priority = case.priority

match:
    $Priority

outcome:
    $Count = count_distinct(case.response_platform_info.response_platform_id)

order:
    $Priority desc
Sicherheitsverwaltung – Übersicht Bietet zentralen Einblick in die Antwortleistung und operative Trends. Sie helfen Sicherheitsteams, den Fortschritt zu verfolgen und fundierte Entscheidungen zur Verbesserung des Sicherheitsstatus zu treffen. MTTR nach SOC-Rolle – letzte 7 Tage 
case.status = "CLOSED"
case.assignee.soc_roles != ""

$SOC_Role = case.assignee.soc_roles
$Date = timestamp.get_date(case.create_time.seconds)

match:
    $SOC_Role, $Date

outcome:
    $MTTR = math.round(avg((case.update_time.seconds - case.create_time.seconds) / 60) ,2)
Sicherheitsverwaltung – Übersicht Bietet einen zentralen Überblick über die Reaktionsleistung und betriebliche Trends. Sie helfen Sicherheitsteams, den Fortschritt zu verfolgen und fundierte Entscheidungen zur Verbesserung des Sicherheitsstatus zu treffen. Offene kritische/schwerwiegende Fälle – Letzte 24 Stunden 
case.status = "OPENED"
case.priority = "PRIORITY_CRITICAL" or case.priority = "PRIORITY_HIGH"

outcome:
    $count = count_distinct(case.response_platform_info.response_platform_id)
Übersicht über die Sicherheitsverwaltung Bietet einen zentralen Überblick über die Reaktionsleistung und betriebliche Trends. Sie helfen Sicherheitsteams, den Fortschritt zu verfolgen und fundierte Entscheidungen zur Verbesserung des Sicherheitsstatus zu treffen. Analyst Backlog (Open Cases) - 7 days 
case.assignee.email != ""
case.status = "OPENED"

$User = case.assignee.email

match:
    $User

outcome:
    $Open_Cases_Count = sum(if(case.status="OPENED", 1, 0))

order:
    $Open_Cases_Count desc
Sicherheitsverwaltung – Übersicht Bietet zentralen Einblick in die Antwortleistung und operative Trends. So können Sicherheitsteams Fortschritte verfolgen und fundierte Entscheidungen treffen, um den Sicherheitsstatus zu verbessern. 
case.status = "OPENED"

outcome:
    $total = count_distinct(case.response_platform_info.response_platform_id)
Sicherheitsverwaltung – Übersicht Bietet einen zentralen Überblick über die Reaktionsleistung und betriebliche Trends. So können Sicherheitsteams Fortschritte verfolgen und fundierte Entscheidungen treffen, um den Sicherheitsstatus zu verbessern. Die zehn wichtigsten MITRE ATT&CK-Taktiken – Letzte 7 Tage 
$Tactic = case.alerts.metadata.tags
$Tactic = /^TA+/

match:
    $Tactic

outcome:
    $Count = count_distinct(case.name)

order:
    $Count desc

limit:
    10
Sicherheitsverwaltung – Übersicht Bietet zentralen Einblick in die Antwortleistung und operative Trends. So können Sicherheitsteams Fortschritte verfolgen und fundierte Entscheidungen treffen, um den Sicherheitsstatus zu verbessern. 
case.incident = true
case.status = "OPENED"

outcome:
    $Count = count(case.name)
Sicherheitsverwaltung – Übersicht Bietet zentralen Einblick in die Antwortleistung und operative Trends. So können Sicherheitsteams Fortschritte verfolgen und fundierte Entscheidungen treffen, um den Sicherheitsstatus zu verbessern. Die zehn am häufigsten verwendeten MITRE ATT&CK-Techniken – letzte 7 Tage 
$Technique = case.alerts.metadata.tags
$Technique = /^T1+/

match:
    $Technique

outcome:
    $Count = count_distinct(case.name)

order:
$Count desc

limit:
10

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten