Ejemplos de consulta de datos de seguridad

Esta guía proporciona una consulta NRQL lista para usar para escenarios comunes de análisis y monitoreo de seguridad. Copie estas consultas en el generador de consultas o agréguelas al dashboard personalizado para obtener información más profunda y valiosa sobre sus datos de vulnerabilidades.

Para obtener información sobre la estructura de datos subyacente, consulte Referencia de estructura de datos de seguridad.

Reportes ejecutivos

Total de vulnerabilidades abiertas por gravedad

Obtenga una visión de alto nivel de su exposición a vulnerabilidades:

FROM Vulnerability
SELECT count(*) as 'Total Vulnerabilities'
WHERE state = 'OPEN'
FACET severity
SINCE 1 day ago

Tendencias críticas y de alta gravedad

Realice un seguimiento de cómo cambian las vulnerabilidades críticas a lo largo del tiempo:

FROM Vulnerability
SELECT count(*) as 'Critical & High Vulnerabilities'
WHERE severity IN ('CRITICAL', 'HIGH')
AND state = 'OPEN'
TIMESERIES AUTO
SINCE 30 days ago

vulnerabilidades por entidad

Identifique qué aplicación u hosts tienen más vulnerabilidades:

FROM Vulnerability
SELECT count(*) as 'Vulnerability Count'
WHERE state = 'OPEN'
FACET entity.name
LIMIT 20
SINCE 1 day ago

Distribución de vulnerabilidades en la cartera

Comprender la propagación de vulnerabilidades:

FROM Vulnerability
SELECT percentage(count(*), WHERE severity = 'CRITICAL') as 'Critical %',
       percentage(count(*), WHERE severity = 'HIGH') as 'High %',
       percentage(count(*), WHERE severity = 'MEDIUM') as 'Medium %',
       percentage(count(*), WHERE severity = 'LOW') as 'Low %'
WHERE state = 'OPEN'
SINCE 1 day ago

Priorización y evaluación de riesgos

Vulnerabilidades de alta prioridad

Encuentre vulnerabilidades con alta probabilidad de explotación:

FROM Vulnerability
SELECT cveId, affectedPackage, affectedVersion, cvssScore, epssPercentile
WHERE epssPercentile > 90
AND state = 'OPEN'
ORDER BY epssPercentile DESC
LIMIT 50
SINCE 7 days ago

Vulnerabilidades activas de ransomware

Identificar vulnerabilidades empleadas en campañas de ransomware:

FROM Vulnerability
SELECT cveId, affectedPackage, cvssScore, entity.name
WHERE activeRansomware = true
AND state = 'OPEN'
FACET cveId, entity.name
SINCE 30 days ago

Vulnerabilidades críticas recién detectadas

Monitorizar nuevos hallazgos críticos:

FROM Vulnerability
SELECT cveId, affectedPackage, affectedVersion, entity.name, detectedAt
WHERE severity = 'CRITICAL'
AND state = 'OPEN'
AND detectedAt > ago(24 hours)
ORDER BY detectedAt DESC

vulnerabilidades que requieren atención inmediata

Combine múltiples factores de riesgo:

FROM Vulnerability
SELECT cveId, entity.name, affectedPackage, cvssScore, epssPercentile
WHERE (
  (severity = 'CRITICAL' AND epssPercentile > 85) OR
  (activeRansomware = true) OR
  (epssPercentile > 95)
)
AND state = 'OPEN'
FACET cveId, entity.name
SINCE 7 days ago

Seguimiento de la exposición y la remediación

Tiempo promedio de exposición a vulnerabilidades

Calcular el tiempo medio de remediación (MTTR):

FROM Vulnerability
SELECT average((resolvedAt - detectedAt) / 86400) as 'Avg Days to Resolve'
WHERE state = 'CLOSED'
FACET severity
SINCE 90 days ago

Vulnerabilidades abiertas de mayor duración

Encuentre vulnerabilidades que estuvieron abiertas durante periodos prolongados:

FROM Vulnerability
SELECT cveId, entity.name, affectedPackage, detectedAt,
       (max(timestamp) - detectedAt) / 86400 as 'Days Open'
WHERE state = 'OPEN'
FACET cveId, entity.name
ORDER BY 'Days Open' DESC
LIMIT 20
SINCE 90 days ago

Velocidad de remediación

Realice un seguimiento de la rapidez con la que resuelve las vulnerabilidades:

FROM NrAiIncidentTimeline
SELECT count(*) as 'Vulnerabilities Resolved'
WHERE event = 'STATUS_CHANGED'
AND newState = 'CLOSED'
FACET weekOf(timestamp)
SINCE 90 days ago
TIMESERIES 1 week

vulnerabilidades por grupo de edad

Vulnerabilidades grupales según el tiempo que llevan abiertas:

FROM Vulnerability
SELECT count(*) as 'Count'
WHERE state = 'OPEN'
FACET cases(
  WHERE (now() - detectedAt) / 86400 <= 7 as '0-7 days',
  WHERE (now() - detectedAt) / 86400 <= 30 as '8-30 days',
  WHERE (now() - detectedAt) / 86400 <= 90 as '31-90 days',
  WHERE (now() - detectedAt) / 86400 > 90 as '> 90 days'
)
SINCE 180 days ago

Análisis de paquetes y bibliotecas

La biblioteca más vulnerable

Identificar la biblioteca que presenta las mayores vulnerabilidades:

FROM Vulnerability
SELECT count(*) as 'Vulnerability Count'
WHERE state = 'OPEN'
FACET affectedPackage
ORDER BY count(*) DESC
LIMIT 10
SINCE 30 days ago

biblioteca que requiere actualizaciones

Encuentre paquetes con correcciones disponibles:

FROM Vulnerability
SELECT affectedPackage, affectedVersion, fixedVersion, count(*) as 'Vulnerable Entities'
WHERE state = 'OPEN'
AND fixedVersion IS NOT NULL
FACET affectedPackage, affectedVersion, fixedVersion
ORDER BY count(*) DESC
LIMIT 20
SINCE 7 days ago

Detección de vulnerabilidades por origen

Comprenda qué integración está encontrando vulnerabilidades:

FROM Vulnerability
SELECT count(*) as 'Detections'
FACET source
SINCE 30 days ago

Análisis de dependencia Java

Centrar en las vulnerabilidades específicas de Java:

FROM Vulnerability
SELECT count(*) as 'Vulnerabilities'
WHERE affectedPackage LIKE '%.jar'
OR affectedPackage LIKE '%maven%'
FACET affectedPackage, severity
SINCE 30 days ago

consulta específica de la entidad

Resumen de vulnerabilidades de la aplicación

Obtenga recuentos de vulnerabilidades para una aplicación específica:

FROM Vulnerability
SELECT count(*) as 'Total',
       filter(count(*), WHERE severity = 'CRITICAL') as 'Critical',
       filter(count(*), WHERE severity = 'HIGH') as 'High',
       filter(count(*), WHERE severity = 'MEDIUM') as 'Medium',
       filter(count(*), WHERE severity = 'LOW') as 'Low'
WHERE entity.name = 'YOUR_APP_NAME'
AND state = 'OPEN'
SINCE 1 day ago

Desglose de vulnerabilidades del host

Analizar vulnerabilidades de los hosts de infraestructura:

FROM Vulnerability
SELECT count(*) as 'Vulnerabilities'
WHERE entityType = 'HOST'
AND state = 'OPEN'
FACET entity.name, severity
LIMIT 50
SINCE 7 days ago

entidad sin escaneos recientes

Identificar entidad que podría no estar reportando datos de vulnerabilidades:

FROM Vulnerability
SELECT entity.name, max(timestamp) as 'Last Scan'
FACET entity.name
HAVING max(timestamp) < ago(7 days)
SINCE 30 days ago

Seguimiento del estado y del flujo de trabajo

Vulnerabilidades ignoradas que requieren revisión

Encuentre vulnerabilidades ignoradas que se acercan a su fecha de revisión:

FROM NrAiIncidentTimeline
SELECT incidentId, entity.name, reason, timestamp as 'Ignored At'
WHERE event = 'STATUS_CHANGED'
AND newState = 'IGNORED'
AND timestamp < ago(60 days)
FACET incidentId, entity.name
SINCE 90 days ago

Registro de auditoría de cambios de estado

Realizar un seguimiento de quién realiza cambios de estado:

FROM NrAiIncidentTimeline
SELECT timestamp, entity.name, previousState, newState, changedBy, reason
WHERE event = 'STATUS_CHANGED'
ORDER BY timestamp DESC
LIMIT 100
SINCE 30 days ago

tasa de falso positivo

Calcula cuántas vulnerabilidades están marcadas como ignoradas frente a las afectadas:

FROM NrAiIncidentTimeline
SELECT filter(count(*), WHERE newState = 'IGNORED') as 'Ignored',
       filter(count(*), WHERE newState = 'AFFECTED') as 'Affected',
       percentage(filter(count(*), WHERE newState = 'IGNORED'), count(*)) as 'Ignore Rate %'
WHERE event = 'STATUS_CHANGED'
SINCE 90 days ago

Cumplimiento y presentación de reportes

Vulnerabilidades mayores a 30 días (seguimiento de SLA)

Monitorear las vulnerabilidades que exceden su SLA de remediación:

FROM Vulnerability
SELECT count(*) as 'Overdue Vulnerabilities',
       entity.name,
       severity
WHERE state = 'OPEN'
AND detectedAt < ago(30 days)
FACET entity.name, severity
SINCE 180 days ago

Vulnerabilidades críticas tiempo de respuesta

Realice un seguimiento de la rapidez con la que se abordan las vulnerabilidades críticas:

FROM Vulnerability
SELECT percentile((resolvedAt - detectedAt) / 86400, 50, 75, 90, 95) as 'Days to Resolve'
WHERE severity = 'CRITICAL'
AND state = 'CLOSED'
SINCE 90 days ago

vulnerabilidades métricas mensuales

Generar reportes mensuales:

FROM Vulnerability
SELECT count(*) as 'Total Detected',
       uniqueCount(entity.guid) as 'Affected Entities',
       filter(count(*), WHERE severity IN ('CRITICAL', 'HIGH')) as 'High Risk'
FACET monthOf(detectedAt)
SINCE 180 days ago
TIMESERIES 1 month

Análisis avanzado

radio de explosión de vulnerabilidades

Identificar vulnerabilidades que afectan a muchas entidades:

FROM Vulnerability
SELECT cveId, count(entity.guid) as 'Affected Entities', max(cvssScore) as 'CVSS'
WHERE state = 'OPEN'
FACET cveId
HAVING count(entity.guid) > 5
ORDER BY count(entity.guid) DESC
LIMIT 20
SINCE 30 days ago

Puntaje de higiene de seguridad

Calcular un puntaje de seguridad personalizada:

FROM Vulnerability
SELECT 100 - (
  filter(count(*), WHERE severity = 'CRITICAL') * 10 +
  filter(count(*), WHERE severity = 'HIGH') * 5 +
  filter(count(*), WHERE severity = 'MEDIUM') * 2 +
  filter(count(*), WHERE severity = 'LOW') * 0.5
) as 'Security Score'
WHERE state = 'OPEN'
FACET entity.name
SINCE 1 day ago

Tendencias de vulnerabilidades por tipo

Compare las vulnerabilidades de la aplicación con las de la infraestructura:

FROM Vulnerability
SELECT count(*) as 'Vulnerabilities'
WHERE state = 'OPEN'
FACET entityType
TIMESERIES AUTO
SINCE 30 days ago

Usando estas consultas

En el generador de consultas

Vaya a one.newrelic.com > All capabilities > Query your data
Copia y pega cualquier consulta de esta página
Haga clic en Run para ver los resultados.
Ajuste los rangos de tiempo y los filtros según sea necesario

En los dashboards personalizados

Crear un nuevo dashboard o editar uno existente
Agrega un widget y selecciona Query builder
Pegue la consulta y configure la visualización
Almacena el widget en tu dashboard

En alertas

Vaya a Alerts > Create a condition
Seleccione NRQL query como tipo de condición
Emplee consultas que devuelvan recuentos o umbrales
Configurar alerta umbral y canal de notificación

Para obtener más información sobre las alertas, consulte Configurar alertas de vulnerabilidades.

Consejos para personalizar la consulta

Reemplazar marcador de posición

'YOUR_APP_NAME' - Reemplace con el nombre real de su aplicación
'YOUR_ENTITY_GUID' - Reemplazar con el GUID de su entidad
Rangos de tiempo (por ejemplo, SINCE 30 days ago): ajústelos a sus necesidades

Combinar con otros datos

Unir datos de vulnerabilidades con APM o infraestructura métrica:

FROM Vulnerability, Transaction
SELECT count(Vulnerability.cveId), average(Transaction.duration)
WHERE Vulnerability.entity.guid = Transaction.appId
AND Vulnerability.state = 'OPEN'
FACET Vulnerability.entity.name
SINCE 1 day ago

Exportar resultados

Todos los resultados de la consulta pueden ser:

Descargado como CSV
Añadido a los dashboards
Exportado a través de API
Compartido con tu equipo

¿Que sigue?

Referencia de estructura de datos

Aprenda sobre los tipos de eventos y atributos en detalle

Configurar alerta

Crear alertas basadas en estas consultas

Documentación NRQL

Obtenga más información sobre la sintaxis NRQL

Te ofrecemos esta traducción automática para facilitar la lectura.