使用信息中心分析风险
借助风险分析信息中心，您可以从风险角度查看环境。直观呈现实体风险趋势有助于您识别异常行为，并了解实体对企业构成的潜在风险。
风险分析信息中心会列出有风险的实体和风险因素详细信息。在采用数据 RBAC 的系统上，只有具有全局范围的用户才能访问风险分析。如需了解详情，请参阅数据 RBAC 对风险分析的影响。
如需访问风险分析信息中心，请按以下步骤操作：
- 在导航栏中，点击检测。
- 在检测中，点击风险分析。
实体数量、风险评分和实体表
根据您选择的过滤条件，风险分析信息中心仅显示企业中风险最高的前 10,000 个实体。信息中心内的所有图表和表格都仅代表这组实体。
左上角的实体总数图表显示企业中正在跟踪且风险大于 0 的实体数量。风险评分为 0 的实体仍会被跟踪，但不会在此图表中显示。总数分为资产和用户。
如需详细了解实体，请参阅逻辑对象：事件和实体。如需详细了解风险评分的计算方式，请参阅风险评分计算。
在实体表中，有多个与实体风险评分相关的列：
| 列 | 值 |
|---|---|
| 实体名称 | 实体的名称。 |
| 实体类型 | 实体类型（资产或用户）。 |
| 规范化 | 标准化得分是跨多个实体计算得出的，通过最小-最大标准化方法将得分缩放至 0 至 1, 000 之间。 |
| 标准化变化 | 自上一个风险计算窗口期以来，标准化实体风险得分的变化情况。 |
| 标准化趋势 | 与上一个风险窗口期相比，标准化风险得分的百分比变化是增加还是减少。 |
| 基本 | 基本实体风险得分等于发现结果的最高风险得分加上加权值乘以发现结果的其余风险得分总和。 加权值默认为 .2，可在“设置”中进行更改。 |
| 基本变化 | 自上一个风险计算窗口期以来，基本实体风险得分的变化情况。 |
| 基本趋势 | 与上一个风险窗口期相比，基本风险得分百分比变化的增幅或降幅。 |
| 发现结果数量 | 在风险计算窗口期内，包含此实体的发现结果（提醒和检测）数量。 |
| 在窗口期内首次出现的时间 | 在风险计算窗口期内，该实体首次在发现结果（提醒或检测）中出现时的时间戳。 |
| 在窗口期内最后出现的时间 | 在风险计算窗口期内，该实体最后在发现结果（提醒或检测）中出现时的时间戳。 |
调整风险计算窗口
实体带来的计算风险会因检查的时间段而异。更改右上角的风险计算窗口期设置（选择 24 小时窗口期或 7 天窗口期）会更改此处显示的计算风险评分。您可能需要根据要查找的攻击类型更改此设置。例如，通过将风险计算窗口设置为 24 小时，暴力破解攻击会更加明显。较长的时间范围可让您发现长期攻击。实体风险得分会因所选风险计算窗口期而异。
实体风险评分每天会根据 24 小时和 7 天回溯期内生成的发现结果重新计算多次。风险信息中心会提供最近计算的风险评分。您还可以通过在“风险计算窗口期”设置旁边的日期选择器中选择特定日期和时间，查看历史风险评分。这将显示在所选日期和时间结束的 24 小时或 7 天时间窗口内计算的实体风险。
使用快速过滤条件缩小搜索范围
通过快速过滤条件，您可以仅显示与特定需求相关的结果，从而缩小搜索范围。
如需在风险分析信息中心内使用快速过滤条件，请按照以下步骤操作：
- 点击实体表上方的 filter_alt 。系统会显示过滤条件窗口。
- 选择以下列之一：
- 发现结果数量
- 标准化实体风险评分
- 标准化实体风险趋势
- 类型
- 选择仅显示或滤除。
- 选择一个值（您可以选择多个值来扩大范围）：
- 发现结果数量：值介于 0 到 1000 以上。
- 标准化实体风险得分：值介于 0 到 1000 之间。
- 标准化实体风险趋势：百分比从小于 -99% 到大于 199%。
- 类型：选择资产或用户。
- （可选）如需添加其他过滤条件，请点击添加过滤条件，然后从第 2 步开始重复此过程。
- 配置完过滤条件后，点击应用。
例如，如果您选择标准化实体风险趋势，选择仅显示，然后勾选 >199%，则系统只会显示标准化实体风险变化大于 199% 的实体。
使用实体页面调查实体
如需调查实体，请按以下步骤操作：
- 滚动浏览实体名称列或使用搜索栏查找实体。
- 点击要调查的实体。
系统随即会打开实体页面。在此页面中，您可以仅查看与该实体相关的发现结果。顶部的发现结果时间轴图表会跟踪实体风险评分和发现结果随时间变化的情况。此图表由预计算指标组成，以折线图格式显示，用于显示随时间变化的趋势。异常值在折线图上表现为峰值。图表下方是发现结果表，其中显示了所选实体与哪些事件和活动相关联。
右下角有一个可收起的查看实体详情面板，其中包含所选实体的重要详细信息摘要。如需完成对所选实体的详细检查，请点击查看实体详细信息，以在资产视图或用户视图中查看实体，具体取决于实体是资产还是用户。如需了解详情，请参阅调查资产实体或调查用户。
使用实体分析功能调查实体
实体分析可为 SOC 分析师和威胁搜寻人员提供实体行为的详细视图，包括实体的基准配置文件、异常情况和上下文丰富。
在实体页面上，在发现结果时间轴上选择最长 90 天的时间范围，然后点击查看所选内容的分析数据。系统会打开一个边栏，其中显示了所选时间范围内与此实体相关的分析数据。每个分析都会显示时间范围内所有分析值的汇总。检测到分析后，分析会包含相关提醒和检测结果的列表，您可以点击查看更多以打开相应的提醒或检测视图，从而进一步检查这些提醒和检测结果。如需了解详情，请参阅调查提醒。
系统会提供以下实体分析：
- 提醒事件名称计数
- 身份验证尝试成功
- 身份验证尝试失败
- 身份验证尝试总次数
- DNS 出站字节数
- DNS 查询失败
- DNS 查询成功
- DNS 查询总数
- 文件执行成功
- 文件执行失败
- 文件执行总数
- HTTP 查询成功
- HTTP 查询失败
- HTTP 查询总数
- 入站网络字节数
- 网络出站字节数
- 网络总字节数
- Workspace 身份验证尝试总数
- Workspace 电子邮件发送总数
- Workspace 网络出站字节数
- Workspace 网络总字节数
- 工作区总更改操作数
- Workspace 下载操作总数
修改实体风险评分
当外部信息或事件影响实体的真实风险时，您可以更新实体的风险评分。
例如，您可以暂时降低刚完成红队演练（例如渗透测试）的员工的风险评分，这样分析师就不必浪费时间调查该员工风险增加的原因。您还可以暂时提高涉及法庭案件的员工的风险评分。
在风险分析页面的实体表格中，将鼠标指针悬停在相应行的最右侧列上。您可能需要向右滚动显示屏。点击 more_vert
然后选择更新实体风险评分。
在更新实体风险得分对话框中，为以下各项配置值：
- 放大系数：可让您使用 0.0 - 100.0 的放大系数来提高或降低实体的风险评分。例如，如果您发现了有关某个实体的新证据，表明该实体的风险增加了一倍，请将放大系数更新为 50，以反映该实体的真实风险系数。
- 时间段：应用乘数的时间段。您可以选择立即，也可以选择 1 天到 14 天之间的某个时间。 如果您选择现在，放大系数将在当前风险计算窗口期内应用于实体风险得分。只有现有提醒和检测会纳入计算。 当所选时间段结束时，对实体风险得分的更新即会停止，风险得分会恢复正常。
- 原因：让您可以为其他用户留下更多背景信息，说明进行此更新的原因。从以下选项中进行选择：新证据、风险评分不正确、风险状况已更改、合规性要求或其他。
如果您尝试进行已完成的更改（例如，您想将某个实体的乘数更新为 25%，但另一位团队成员已经进行了该更改），系统会显示一个对话框，说明该更改已完成，并提供有关更改者和更改时间的信息。
在实体详情中查看风险评分更新
您可以在实体配置文件页面中查看实体的所有风险评分更新。
- 点击要查看其风险评分更新历史记录的实体，以打开实体资料页面。
- 在事件时间表图中，每次有人更改实体的风险评分时，都会以白色文本显示风险评分修改标签。
- 将指针悬停在文本上，即可显示一个对话框，其中包含更改日期、更改用户和更改原因。
监控列表
通过监控列表页面，您可以监控整个企业中的特定实体。
前往“监视列表”标签页
- 在左侧导航栏中，点击检测。
- 在检测中，点击风险分析。
- 点击监控列表标签页。
添加监控列表
如需向 Google Security Operations 账号添加监视列表，请完成以下步骤。您最多可以配置 200 个监控列表。
- 点击创建监控列表。
- 指定监控列表名称。
- （可选）指定说明。
- （可选）指定介于 0 到 100 之间的放大系数。默认值为 1。
- （可选）按照将实体添加到监控列表部分中的说明，在窗口右侧指定实体。您可以在此处添加以下实体类型：
ASSET_IP_ADDRESSEMAILEMPLOYEE_IDHOSTNAMEMACPRODUCT_OBJECT_IDPRODUCT_SPECIFIC_IDUSERNAMEWINDOWS_SID
- 点击创建监控列表。
固定监控列表
- 点击修改显示。
- 点击要置顶的监视列表旁边的复选框。
- 点击保存。
取消固定监控列表
- 在监控列表信息中心内，选择要取消固定的监控列表，然后选择 more_vert 。
- 点击从显示屏中移除。
修改监控列表
- 在监控列表信息中心内，选择要修改的监控列表，然后点击 more_vert 图标。
- 点击修改监控列表。
删除监控列表
- 在监控列表信息中心内，选择要删除的监控列表，然后点击 more_vert 。
- 点击删除监视列表。
将实体添加到监控列表
如需将实体添加到监视列表，请使用以下格式之一逐行指定实体名称、类型和（可选）命名空间。
NAME、TYPENAME,TYPE,NAMESPACETYPE可以是下列选项之一：ASSET_IP_ADDRESSEMAILEMPLOYEE_IDHOSTNAMEMACPRODUCT_OBJECT_IDPRODUCT_SPECIFIC_IDUSERNAMEWINDOWS_SID
只能为以下素材资源实体类型指定
NAMESPACE：ASSET_IP_ADDRESSHOSTNAMEMACPRODUCT_OBJECT_IDPRODUCT_SPECIFIC_ID
例如：
205.148.5.0,ASSET_IP_ADDRESS
website.com,HOSTNAME,chronicle
此示例表示添加到监视列表中的两个实体：chronicle 命名空间下的资产 IP 地址 205.148.5.0 和主机名 website.com。一个监控列表中最多可以有 10,000 个实体。
从监控列表中移除实体
如需从监视列表中移除实体，请移除代表要移除的实体的行，然后点击保存。
更改风险评分设置
通过实体风险评分页面，您可以定义如何计算实体、提醒和检测的风险评分。在此页面上，您可以根据搜索的独特需求，自定义风险的计算方式。
实体风险评分页面中有三个字段可供更新：
如需更改其中任何设置，请按以下步骤操作：
- 在导航栏中，依次选择设置 > 检测 > 实体风险评分。
- 相应地更新风险评分。
- 点击保存。返回风险分析主页面后，您会在屏幕顶部看到一条消息，确认实体风险评分已更改。
- （可选）如需重置其中任何值，请点击该值右侧的重置。
更新只会应用于新的提醒和检测。所做更改最长可能需要 30 分钟才能生效。
实体风险评分权重
权重定义了提醒和检测风险评分对实体风险评分计算的贡献。权重值介于 0 到 1 之间，默认值为 0.2。
以下示例展示了不同数字对实体风险评分计算的影响：
- 实体风险评分权重
0。原始风险评分是实体的所有检测中的最高检测风险评分。 - 实体风险评分权重
1。原始风险评分是实体的所有检测风险评分的总和。 - 实体风险评分权重
0.5。风险评分会为实体的最高风险评分检测结果赋予完整权重，并为所有其他检测结果赋予一半权重。
检测的默认风险评分
检测的默认风险评分可让您为检测风险评分指定默认值。检测风险评分用于计算实体风险评分。检测的风险评分在编写规则时定义。如果规则中未定义风险评分，则使用默认值。默认得分为 15，风险得分范围为 0-100。
提醒的默认风险评分
与检测的默认风险评分类似，此字段可让您为提醒风险评分分配默认值。如果规则中没有定义风险得分，则使用默认值 40。风险评分范围为 0-1000。
如需了解如何在规则中定义风险评分，请参阅结果部分语法。
已解决提醒系数
已解决提醒系数用于对分析师标记为“已解决”的提醒的风险评分进行修改。它是一个介于 0 到 1（含 0 和 1）之间的浮点修饰数。默认值为 1.0，这意味着所有未解决和已解决的提醒都会保留其原始得分。如果已关闭的提醒系数的值为 0.0，则所有已关闭的提醒都会获得 0 的风险评分，并且不会再增加整体实体的风险评分。