SOAR 플레이북 쿼리

다음에서 지원:

이 문서는 다양한 보안 사용 사례에서 가시성을 제공하도록 설계된 사전 정의된 대시보드인 선별된 대시보드를 사용하여 위협 환경과 시스템 상태를 모니터링하려는 보안 운영 센터 (SOC) 관리자 및 분석가를 대상으로 합니다. 이 문서에서는 SOAR 플레이북 소스 유형에 대해 선별된 대시보드와 기본 쿼리를 제공합니다.

이러한 쿼리는 쿼리 편집기에서 사용하거나 맞춤 위젯의 기준으로 사용할 수 있습니다. 대시보드를 만들고 관리하는 방법은 대시보드 관리를 참고하세요.

대시보드 이름 설명 차트 이름 쿼리
플레이북 대시보드 (SOAR) 처리된 알림, 평균 실행 시간, 실행 오류에 관한 측정항목을 비롯해 플레이북 성능 및 자동화 효율성에 관한 유용한 정보를 제공합니다.
참고: 관련 결과를 표시하려면 필터를 적용하세요.		 실패한 플레이북 배포 
playbook.status = "FAILED"

$Playbook_Name = playbook.display_name

match:
   $Playbook_Name

outcome:
   $Total_Playbook_Runs = count(playbook.name)

order:
   $Total_Playbook_Runs desc

    

    

      플레이북 대시보드 (SOAR)
      처리된 알림, 평균 실행 시간, 실행 오류에 관한 측정항목을 비롯해 플레이북 성능 및 자동화 효율성에 관한 유용한 정보를 제공합니다. 
참고: 관련 결과를 표시하려면 필터를 적용하세요.		
      환경별 자동화 배포
      
$Automatic = playbook.metadata.automatic
$Environment = playbook.metadata.environments

match:
    $Environment, $Automatic

outcome:
    $Total_Playbook_Runs = count(playbook.name)

order:
    $Total_Playbook_Runs desc

    

    

      플레이북 대시보드 (SOAR)
      처리된 알림, 평균 실행 시간, 실행 오류에 관한 측정항목을 비롯해 플레이북 성능 및 자동화 효율성에 관한 유용한 정보를 제공합니다. 
참고: 관련 결과를 표시하려면 필터를 적용하세요.		
      실패한 실행
      
outcome:
   $Total_Playbook_Runs = count(playbook.name)
   $Playbook_Failed = sum(if(playbook.status = "FAILED", 1, 0))
   $Percentage = math.round(($Playbook_Failed/$Total_Playbook_Runs) *100, 2)

    

    

      플레이북 대시보드 (SOAR)
      처리된 알림, 평균 실행 시간, 실행 오류에 관한 측정항목을 비롯해 플레이북 성능 및 자동화 효율성에 관한 유용한 정보를 제공합니다. 
참고: 관련 결과를 표시하려면 필터를 적용하세요.		
      플레이북별 실패한 플레이북 실행
      
$Playbook_Name = playbook.display_name

match:
    $Playbook_Name

outcome:
    $Total_Playbook_Runs = count(playbook.name)
    $Playbook_Failed = sum(if(playbook.status = "FAILED", 1,0))
    $Percentage = math.round(($Playbook_Failed/$Total_Playbook_Runs) *100, 2)

order:
    $Percentage desc

    

    

      플레이북 대시보드 (SOAR)
      처리된 알림, 평균 실행 시간, 실행 오류에 관한 측정항목을 비롯해 플레이북 성능 및 자동화 효율성에 관한 유용한 정보를 제공합니다. 
참고: 관련 결과를 표시하려면 필터를 적용하세요.		
      플레이북별 종료된 알림
      
$Playbook_Name = playbook.display_name

match:
    $Playbook_Name

outcome:
    $Total_Playbook_Runs = count(playbook.name)
    $Alerts_Closed = sum(if(playbook.status = "COMPLETED" and playbook.action.action = /close/ nocase, 1,0))
    $Percentage = math.round(($Alerts_Closed/$Total_Playbook_Runs) *100, 2)

order:
    $Percentage desc

    

    

      플레이북 대시보드 (SOAR)
      처리된 알림, 평균 실행 시간, 실행 오류에 관한 측정항목을 비롯해 플레이북 성능 및 자동화 효율성에 관한 유용한 정보를 제공합니다. 
참고: 관련 결과를 표시하려면 필터를 적용하세요.		
      실패한 작업
      
$Action_Name =  playbook.action.action

match:
   $Action_Name

outcome:
   $Total_Actions = count(playbook.action.name)
   $Faulted_Action = sum(if(playbook.action.status="FAULTED", 1, 0))
   $Percentage = math.round(($Faulted_Action/$Total_Actions)*100, 2)

order:
   $Percentage desc


    

    

      플레이북 대시보드 (SOAR)
      처리된 알림, 평균 실행 시간, 실행 오류에 관한 측정항목을 비롯해 플레이북 성능 및 자동화 효율성에 관한 유용한 정보를 제공합니다. 
참고: 관련 결과를 표시하려면 필터를 적용하세요.		
      실패한 플레이북 요약
      
playbook.status = "FAILED"

$Environment = playbook.metadata.environments
$CaseID = playbook.action.case_metadata.case_id
$Playbook_Name = playbook.display_name
$Playbook_Status = playbook.status
$Action_Name = playbook.action.action
$Action_Status = playbook.action.status
$Action_Status = "FAULTED"
$Action_Message = playbook.action.result_message

match:
    $Environment, $CaseID, $Playbook_Name, $Playbook_Status, $Action_Name, $Action_Status, $Action_Message

outcome:
    $Playbook_Triggered_Time = timestamp.get_timestamp(max(playbook.start_time.seconds), "%F %T")

order:
    $Playbook_Triggered_Time desc

    

    

      플레이북 대시보드 (SOAR)
      처리된 알림, 평균 실행 시간, 실행 오류에 관한 측정항목을 비롯해 플레이북 성능 및 자동화 효율성에 관한 유용한 정보를 제공합니다. 
참고: 관련 결과를 표시하려면 필터를 적용하세요.		
      총 플레이북 실행 횟수
      
outcome:
   $Total_Playbook_Runs = count(playbook.name)


    

    

      플레이북 대시보드 (SOAR)
      처리된 알림, 평균 실행 시간, 실행 오류에 관한 측정항목을 비롯해 플레이북 성능 및 자동화 효율성에 관한 유용한 정보를 제공합니다. 
참고: 관련 결과를 표시하려면 필터를 적용하세요.		
      시간 경과에 따른 실패한 플레이북
      
playbook.status = "FAILED"

$Playbook_Name = playbook.display_name
$Date = timestamp.get_date(playbook.start_time.seconds)

match:
    $Date, $Playbook_Name

outcome:
    $Total_Playbook_Runs = count(playbook.name)

order:
    $Date asc

    

    

      플레이북 대시보드 (SOAR)
      처리된 알림, 평균 실행 시간, 실행 오류에 관한 측정항목을 비롯해 플레이북 성능 및 자동화 효율성에 관한 유용한 정보를 제공합니다. 
참고: 관련 결과를 표시하려면 필터를 적용하세요.		
      실패한 플레이북 실행의 총수
      
playbook.status = "FAILED"

outcome:
   $Total_Playbook_Runs = count(playbook.name)

    

    

      플레이북 대시보드 (SOAR)
      처리된 알림, 평균 실행 시간, 실행 오류에 관한 측정항목을 비롯해 플레이북 성능 및 자동화 효율성에 관한 유용한 정보를 제공합니다. 
참고: 관련 결과를 표시하려면 필터를 적용하세요.		
      평균 실행 시간(분)
      
outcome:
    $Average = math.round(avg((playbook.end_time.seconds  - playbook.start_time.seconds)/60), 2)

    

    

    

      플레이북 대시보드 (SOAR)
      처리된 알림, 평균 실행 시간, 실행 오류에 관한 측정항목을 비롯해 플레이북 성능 및 자동화 효율성에 관한 유용한 정보를 제공합니다. 
참고: 관련 결과를 표시하려면 필터를 적용하세요.		
      자동화로 종료된 알림
      
playbook.metadata.automatic = true
playbook.action.automatic = true

outcome:
    $Total_Playbook_Runs = count(playbook.name)
    $Alerts_Closed = sum(if(playbook.status = "COMPLETED" and playbook.action.action = /close/ nocase, 1,0))
    $Percentage = math.round(($Alerts_Closed/$Total_Playbook_Runs) *100, 2)

    

    

      플레이북 대시보드 (SOAR)
      처리된 알림, 평균 실행 시간, 실행 오류에 관한 측정항목을 비롯해 플레이북 성능 및 자동화 효율성에 관한 유용한 정보를 제공합니다. 
참고: 관련 결과를 표시하려면 필터를 적용하세요.		
      실패한 작업 분포
      
playbook.action.status = "FAULTED"

$Action_Name = playbook.action.action

match:
    $Action_Name

outcome:
    $Total_Actions = count(playbook.action.name)

order:
    $Total_Actions desc

    

    

      플레이북 대시보드 (SOAR)
      처리된 알림, 평균 실행 시간, 실행 오류에 관한 측정항목을 비롯해 플레이북 성능 및 자동화 효율성에 관한 유용한 정보를 제공합니다. 
참고: 관련 결과를 표시하려면 필터를 적용하세요.		
      실패한 작업
      
outcome:
   $Total_Actions = count(playbook.action.name)
   $Faulted_Actions = sum(if(playbook.action.status = "FAULTED", 1, 0))
   $Percentage = math.round(($Faulted_Actions/$Total_Actions)*100, 2)

    

    

      플레이북 대시보드 (SOAR)
      처리된 알림, 평균 실행 시간, 실행 오류에 관한 측정항목을 비롯해 플레이북 성능 및 자동화 효율성에 관한 유용한 정보를 제공합니다. 
참고: 관련 결과를 표시하려면 필터를 적용하세요.		
      플레이북당 평균 런타임
      
$Playbook_Name = playbook.display_name

match:
    $Playbook_Name

outcome:
    $Average = math.round(window.avg((playbook.end_time.seconds  - playbook.start_time.seconds)/60), 2)

order:
    $Average desc


    

    

      플레이북 대시보드 (SOAR)
      처리된 알림, 평균 실행 시간, 실행 오류에 관한 측정항목을 비롯해 플레이북 성능 및 자동화 효율성에 관한 유용한 정보를 제공합니다. 
참고: 관련 결과를 표시하려면 필터를 적용하세요.		
      환경별 자동화로 종료된 알림
      
playbook.metadata.automatic = true
playbook.action.automatic = true

$Environment = playbook.metadata.environments

match:
    $Environment

outcome:
    $Total_Alerts = count(playbook.name)
    $Alerts_Closed = sum(if(playbook.status = "COMPLETED" and playbook.action.action = /close/ nocase, 1,0))
    $Percentage = math.round(($Alerts_Closed/$Total_Alerts) *100, 2)

order:
    $Percentage desc

    

    

      플레이북 대시보드 (SOAR)
      처리된 알림, 평균 실행 시간, 실행 오류에 관한 측정항목을 비롯해 플레이북 성능 및 자동화 효율성에 관한 유용한 정보를 제공합니다. 
참고: 관련 결과를 표시하려면 필터를 적용하세요.		
      상태별 플레이북에서 처리된 알림
      
$Playbook_Name = playbook.display_name
$Playbook_Status = playbook.status

match:
    $Playbook_Name, $Playbook_Status

outcome:
    $Total_Alerts = count(playbook.name)

order:
    $Total_Alerts desc


    

    

      플레이북 대시보드 (SOAR)
      처리된 알림, 평균 실행 시간, 실행 오류에 관한 측정항목을 비롯해 플레이북 성능 및 자동화 효율성에 관한 유용한 정보를 제공합니다. 
참고: 관련 결과를 표시하려면 필터를 적용하세요.		
      전체 플레이북
      
outcome:
   $Playbook_Count = count_distinct(playbook.display_name)

    

    

      플레이북 대시보드 (SOAR)
      처리된 알림, 평균 실행 시간, 실행 오류에 관한 측정항목을 비롯해 플레이북 성능 및 자동화 효율성에 관한 유용한 정보를 제공합니다. 
참고: 관련 결과를 표시하려면 필터를 적용하세요.		
      플레이북 트리거 추세
      
playbook.start_time.seconds > 0

$Playbook_Name = playbook.display_name
$Date = timestamp.get_date(playbook.start_time.seconds)

match:
    $Date, $Playbook_Name

outcome:
    $Total_Playbook_Runs = count(playbook.name)

order:
    $Date asc


    

    

      플레이북 대시보드 (SOAR)
      처리된 알림, 평균 실행 시간, 실행 오류에 관한 측정항목을 비롯해 플레이북 성능 및 자동화 효율성에 관한 유용한 정보를 제공합니다. 
참고: 관련 결과를 표시하려면 필터를 적용하세요.		
      플레이북 배포
      
$Playbook_Name = playbook.display_name

match:
    $Playbook_Name

outcome:
    $Total_Playbook_Runs = count(playbook.name)

order:
    $Total_Playbook_Runs desc

    

    

      플레이북 대시보드 (SOAR)
      처리된 알림, 평균 실행 시간, 실행 오류에 관한 측정항목을 비롯해 플레이북 성능 및 자동화 효율성에 관한 유용한 정보를 제공합니다. 
참고: 관련 결과를 표시하려면 필터를 적용하세요.		
      직접 조치
      
outcome:
    $Total_Playbook_Actions = count(playbook.action.automatic)
    $Manual_Action = sum(if(playbook.action.automatic = false, 1,0))
    $Percentage = math.round(($Manual_Action/$Total_Playbook_Actions)*100, 2)

    

    

      플레이북 대시보드 (SOAR)
      처리된 알림, 평균 실행 시간, 실행 오류에 관한 측정항목을 비롯해 플레이북 성능 및 자동화 효율성에 관한 유용한 정보를 제공합니다. 
참고: 관련 결과를 표시하려면 필터를 적용하세요.		
      플레이북 실행이 실패한 총 케이스 수
      
playbook.status = "FAILED"

outcome:
    $Total_Case_IDs = count_distinct(playbook.action.case_metadata.case_id)



    

    

      플레이북 대시보드 (SOAR)
      처리된 알림, 평균 실행 시간, 실행 오류에 관한 측정항목을 비롯해 플레이북 성능 및 자동화 효율성에 관한 유용한 정보를 제공합니다. 
참고: 관련 결과를 표시하려면 필터를 적용하세요.		
      상위 10개 플레이북 작업
      
$Playbook_Name = playbook.display_name
$Action_Name = playbook.action.action
$Action_Automatic = playbook.action.automatic
$Action_Status = playbook.action.status
$Action_Message = playbook.action.result_message

match:
    $Playbook_Name, $Action_Name, $Action_Automatic, $Action_Status, $Action_Message

outcome:
    $Total_Playbook_Runs = count(playbook.name)
    $Playbook_Triggered_Time = timestamp.get_timestamp(max(playbook.start_time.seconds), "%F %T")

order:
    $Total_Playbook_Runs desc

limit:
    10

    

    

      플레이북 대시보드 (SOAR)
      처리된 알림, 평균 실행 시간, 실행 오류에 관한 측정항목을 비롯해 플레이북 성능 및 자동화 효율성에 관한 유용한 정보를 제공합니다. 
참고: 관련 결과를 표시하려면 필터를 적용하세요.		
      플레이북 대기열
      
playbook.status = "PENDING_IN_QUEUE"

$Environment = playbook.metadata.environments
$Playbook_Name = playbook.display_name
$Playbook_Status = playbook.status

match:
   $Playbook_Name, $Playbook_Status, $Environment

outcome:
    $Total_Playbook_Runs = count(playbook.name)

order:
    $Total_Playbook_Runs desc


    

    

      플레이북 대시보드 (SOAR)
      처리된 알림, 평균 실행 시간, 실행 오류에 관한 측정항목을 비롯해 플레이북 성능 및 자동화 효율성에 관한 유용한 정보를 제공합니다. 
참고: 관련 결과를 표시하려면 필터를 적용하세요.		
      실패한 총 플레이북 수
      
playbook.status = "FAILED"

outcome:
    $Total_Failed_Playbooks = count_distinct(playbook.display_name)

    

  







도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.