本文說明 Security Command Center Enterprise 層級的案件概念，以及如何處理案件。
總覽
在 Security Command Center 中，您可以透過案件取得發現項目的詳細資料、將應對手冊附加至發現項目快訊、套用自動威脅回應，以及追蹤安全問題的修復情況。
「發現項目」是偵測服務產生的安全性問題記錄。在案件中，調查結果和其他安全問題會以快訊形式呈現，並透過應對手冊收集額外資訊，Security Command Center 會盡可能將新快訊新增至現有案件，並與其他相關快訊歸類在一起。如要進一步瞭解案件，請參閱 Google SecOps 說明文件中的「案件總覽」。
發現項目流程
在 Security Command Center Enterprise 中，發現項目有兩種流程：
Security Command Center 威脅發現項目會經過安全資訊與事件管理 (SIEM) 模組。內部 SIEM 規則觸發後，調查結果會變成快訊。
這個連結器會收集警示，並擷取至安全調度管理、自動化與應變 (SOAR) 模組，由應對手冊處理並充實警示內容，然後將警示分組為案件。
有害組合發現項目和任何相關安全漏洞與錯誤設定發現項目，都會直接傳送至 SOAR 模組。SCC Enterprise - Urgent Posture Findings Connector 擷取發現項目並將其歸類為案件中的快訊後，劇本會處理並擴充快訊。
在 Security Command Center Enterprise 中，Security Command Center 發現項目會變成案件 快訊。
調查案件
在擷取期間，系統會將發現項目歸入案件，讓安全專家瞭解要優先處理哪些項目。
如果多項發現的參數相同，系統會將這些發現歸納成一個案件。如要進一步瞭解調查結果分組機制，請參閱在案件中將調查結果分組。如果您使用票證系統 (例如 Jira 或 ServiceNow)，系統會根據案件建立票證，也就是說，一個案件的所有發現事項會對應一張票證。
尋找狀態
調查結果可能處於下列任一狀態：
有效：發現項目有效。
已忽略：發現項目有效且已忽略。如果案件中的所有發現項目都已靜音，案件就會結案。如要進一步瞭解如何忽略案件中的發現項目，請參閱「忽略案件中的發現項目」。
已關閉：發現項目無效。
調查結果狀態會顯示在「案件總覽」分頁的「調查結果狀態」小工具，以及警報的「調查結果摘要」小工具中。
如果整合票務系統，請啟用同步處理作業，自動更新調查結果和狀態資訊，並將案件資料與相關票證同步處理。如要進一步瞭解案件資料同步功能，請參閱「啟用案件資料同步功能」。
發現項目的嚴重性與案件優先順序
根據預設，案件中的所有發現事項都具有相同的 severity
屬性。您可以設定分組設定，將不同嚴重程度的發現項目納入同一個案件。
案件優先順序取決於最高嚴重程度的發現項目。發現項目嚴重程度變更時，Security Command Center 會自動更新案件優先順序，以符合案件中所有發現項目最高的嚴重程度屬性。將調查結果設為靜音不會影響案件優先順序。如果設為靜音的調查結果嚴重性最高，則會決定案件優先順序。
在下列範例中，案件 1 的優先順序為「重大」，因為發現 3 (雖然已設為靜音) 的嚴重程度設為「重大」：
- 案件 1：優先順序：
CRITICAL- 發現項目 1，有效。嚴重程度：
HIGH - 發現項目 2，有效。嚴重程度：
HIGH - 發現項目 3 已忽略。嚴重程度：
CRITICAL
- 發現項目 1，有效。嚴重程度：
在下一個範例中，案件 2 的優先順序為「高」，因為所有發現項目的最高嚴重程度為「高」：
- 案件 2：優先順序：
HIGH- 發現項目 1，有效。嚴重程度：
HIGH - 發現項目 2，有效。嚴重程度：
HIGH - 發現項目 3 已忽略。嚴重程度：
HIGH
- 發現項目 1，有效。嚴重程度：
查看案件
如要查看案件，請按照下列步驟操作：
- 在 Google Cloud 控制台中，依序前往「風險」>「案件」。「案件清單」隨即開啟。
- 選取要查看的案件。系統會開啟「案件檢視」，您可以在其中查看調查結果摘要，以及與警示或警示集合相關的所有資訊，這些警示會歸入所選案件。
- 如要查看案件的活動和相關快訊詳細資料，請前往「案件牆」分頁。
前往「快訊」分頁，查看調查結果總覽。
「快訊」分頁包含下列資訊：
- 警報事件清單。
- 附加至警報的應對手冊。
- 調查結果總覽。
- 受影響資產的相關資訊。
- 選填：支援單詳細資料。
整合支援單處理系統
預設情況下，Security Command Center Enterprise 不會整合任何支援單處理系統。
如果案件包含安全漏洞和錯誤設定發現項目，只有在整合及設定支援單系統後，才會產生相關支援單。如果您整合支援單處理系統，Security Command Center Enterprise 會根據安全狀態案件建立支援單，並使用同步處理工作，將應對手冊收集的所有資訊轉送至支援單處理系統。
即使您將支援單處理系統與 Security Command Center Enterprise 執行個體整合，含有威脅偵測結果的案件預設也不會有相關支援單。如要使用威脅案件的案件，請新增動作來自訂可用的應對手冊，或建立新的應對手冊。
案件指派對象與服務單指派對象
在任何時間點，每項發現事項都只有一位資源擁有者。資源擁有者是使用 Google Cloud 標記、重要聯絡人或在 SCC Enterprise - Urgent Posture Findings Connector 中設定的「Fallback Owner」參數值定義。
如果整合票務系統，資源擁有者預設為票證指派對象。如要進一步瞭解如何自動和手動指派票證，請參閱「根據姿勢案例指派票證」。
票證指派對象會根據調查結果進行補救。
案件指派對象會處理 Security Command Center Enterprise 中的案件，但不會分類或減輕發現項目。
舉例來說，案件指派對象可以是威脅管理員或其他安全專家，他們會與工程師 (案件指派對象) 合作，確認案件中的所有快訊都已處理完畢。案件指派對象絕不會使用票證系統。
後續步驟
如要進一步瞭解案件，請參閱 Google SecOps 說明文件中的下列資源：