本文將介紹 Security Command Center Enterprise 層級的案件概念，並說明如何處理案件。
總覽
在 Security Command Center 中，您可以透過案件取得有關發現項目的詳細資料、將應對手冊附加至發現項目快訊、套用自動威脅回應，以及追蹤安全性問題的修復情況。
「發現項目」是偵測服務產生的安全性問題記錄。在案件中，調查結果和其他安全性問題會以快訊形式呈現，並透過收集額外資訊的應對手冊進行強化。Security Command Center 會盡可能將新快訊新增至現有案件，並與其他相關快訊歸類在一起。如要進一步瞭解案件，請參閱 Google SecOps 說明文件中的「案件總覽」。
發現項目流程
在 Security Command Center Enterprise 中，發現項目有兩種流程：
Security Command Center 威脅發現項目會經過安全資訊與事件管理 (SIEM) 模組。觸發內部 SIEM 規則後，調查結果會變成快訊。
這個連結器會收集警報，並將警報匯入自動化安全性調度管理和應變 (SOAR) 模組，由應對手冊處理警報，並將警報歸入案件。
有害組合發現項目和任何相關的安全漏洞與設定錯誤發現項目，都會直接傳送至 SOAR 模組。SCC Enterprise - Urgent Posture Findings Connector 擷取並將發現項目歸類為案件中的快訊後，應對手冊會處理並擴充快訊。
在 Security Command Center Enterprise 中，Security Command Center 發現項目會變成案件 快訊。
調查案件
在擷取期間，系統會將發現項目歸類為案件，讓安全專家瞭解要優先處理哪些項目。
如果多項發現的參數相同，系統會將這些發現歸納為一個案件。如要進一步瞭解調查結果分組機制，請參閱在案件中將調查結果分組。如果您使用 Jira 或 ServiceNow 等票證系統，系統會根據案件建立票證，也就是說，一個案件的所有發現事項會對應一張票證。
發現項目狀態
發現項目可能處於下列任一狀態：
有效：發現項目有效。
已忽略：發現項目有效且已忽略。如果案件中的所有發現項目都已靜音，案件就會結案。如要進一步瞭解如何忽略案件中的發現項目，請參閱「忽略案件中的發現項目」。
已關閉：發現項目無效。
發現項目的狀態會顯示在「案件總覽」分頁的「發現項目狀態」小工具，以及警報的「發現項目摘要」小工具中。
如果整合票證系統，請啟用同步處理作業，自動更新調查結果和狀態資訊，並將案件資料與相關票證同步處理。如要進一步瞭解案件資料同步處理功能，請參閱「啟用案件資料同步處理功能」。
發現項目的嚴重性與案件優先順序
根據預設，案件中的所有發現事項都具有相同的 severity
屬性。您可以設定分組設定，將不同嚴重程度的發現項目納入同一個案件。
案件優先順序取決於最高嚴重程度的發現項目。發現項目嚴重程度變更時，Security Command Center 會自動更新案件優先順序，以符合案件中所有發現項目最高的嚴重程度屬性。將調查結果設為靜音不會影響案件優先順序。如果設為靜音的調查結果嚴重程度最高，系統會根據該結果決定案件優先順序。
在下列範例中，案件 1 的優先順序為「重大」，因為發現項目 3 的嚴重程度 (雖然已設為靜音) 設為「重大」：
- 情境 1：優先順序：
CRITICAL- 發現項目 1，有效。嚴重程度：
HIGH - 發現項目 2，有效。嚴重程度：
HIGH - 發現項目 3，已忽略。嚴重程度：
CRITICAL
- 發現項目 1，有效。嚴重程度：
在下一個範例中，案件 2 的優先順序為「高」，因為所有發現項目的最高嚴重程度為「高」：
- 案件 2：優先順序：
HIGH- 發現項目 1，有效。嚴重程度：
HIGH - 發現項目 2，有效。嚴重程度：
HIGH - 發現項目 3，已忽略。嚴重程度：
HIGH
- 發現項目 1，有效。嚴重程度：
查看案件
如要查看案件，請按照下列步驟操作：
- 在 Google Cloud 控制台，依序前往「風險」>「案件」。系統會開啟「案件清單」。
- 選取要查看的案件。系統會開啟「案件檢視」，您可以在其中查看調查結果摘要，以及與警示或警示集合相關的所有資訊，這些警示會歸入所選案件。
- 如要查看案件的活動詳細資料和相關快訊，請前往「案件牆」分頁。
前往「Alert」(快訊) 分頁，查看調查結果總覽。
「快訊」分頁包含下列資訊：
- 快訊事件清單。
- 附加至快訊的應對手冊。
- 調查結果總覽。
- 受影響資產的相關資訊。
- 選填：支援單詳細資料。
與支援單處理系統整合
根據預設，Security Command Center Enterprise 不會整合任何支援單處理系統。
只有在整合及設定支援單系統後，含有安全漏洞和錯誤設定發現項目的案件才會產生相關支援單。如果您整合支援單處理系統，Security Command Center Enterprise 會根據安全狀態案件建立支援單，並使用同步處理工作，將應對手冊收集的所有資訊轉送至支援單處理系統。
即使您將支援單處理系統與 Security Command Center Enterprise 執行個體整合，含有威脅偵測結果的案件預設也不會有相關支援單。如要將票證用於威脅案件，請新增動作來自訂可用應對手冊，或建立新的應對手冊。
案件指派對象與服務單指派對象
在任何時間點，每項發現項目都只有一位資源擁有者。資源擁有者是使用 Google Cloud 標記、重要聯絡人或在 SCC Enterprise - Urgent Posture Findings Connector 中設定的「Fallback Owner」參數值定義。
如果整合票務系統，資源擁有者預設為票證指派對象。如要進一步瞭解自動和手動指派單據，請參閱「根據姿勢案例指派單據」。
票證指派對象會根據調查結果進行補救。
案件指派對象會在 Security Command Center Enterprise 中處理案件，但不會分類或減輕發現項目。
舉例來說，案件指派對象可以是威脅管理員或其他安全專家，他們會與工程師 (案件指派對象) 合作，確認案件中的所有快訊都已處理完畢。案件指派對象絕不會使用支援單處理系統。
後續步驟
如要進一步瞭解案件，請參閱 Google SecOps 說明文件中的下列資源：