Exemples de requêtes de données de sécurité

Ce guide fournit des requêtes NRQL prêtes à l'emploi pour les scénarios courants monitoring et d'analyse de la sécurité. Copiez ces requêtes dans le générateur de requêtes ou ajoutez-les aux dashboards personnalisés pour obtenir des informations plus détaillées sur vos données de vulnérabilités.

Pour plus d'informations sur la structure de données sous-jacente, consultez la référence de la structure de données de sécurité.

Rapports exécutifs

Nombre total de vulnérabilités ouvertes par niveau de gravité

Obtenez une vue d'ensemble de votre exposition aux vulnérabilités :

FROM Vulnerability
SELECT count(*) as 'Total Vulnerabilities'
WHERE state = 'OPEN'
FACET severity
SINCE 1 day ago

Tendances critiques et de haute gravité

Suivre l'évolution des vulnérabilités critiques au fil du temps :

FROM Vulnerability
SELECT count(*) as 'Critical & High Vulnerabilities'
WHERE severity IN ('CRITICAL', 'HIGH')
AND state = 'OPEN'
TIMESERIES AUTO
SINCE 30 days ago

vulnérabilités par entité

Identifiez les applications ou les hôtes présentant le plus de vulnérabilités :

FROM Vulnerability
SELECT count(*) as 'Vulnerability Count'
WHERE state = 'OPEN'
FACET entity.name
LIMIT 20
SINCE 1 day ago

Répartition des vulnérabilités au sein du portefeuille

Comprendre la propagation des vulnérabilités :

FROM Vulnerability
SELECT percentage(count(*), WHERE severity = 'CRITICAL') as 'Critical %',
       percentage(count(*), WHERE severity = 'HIGH') as 'High %',
       percentage(count(*), WHERE severity = 'MEDIUM') as 'Medium %',
       percentage(count(*), WHERE severity = 'LOW') as 'Low %'
WHERE state = 'OPEN'
SINCE 1 day ago

Priorisation et évaluation des risques

Vulnérabilités hautement prioritaires

Identifier les vulnérabilités présentant une forte probabilité d'exploitation :

FROM Vulnerability
SELECT cveId, affectedPackage, affectedVersion, cvssScore, epssPercentile
WHERE epssPercentile > 90
AND state = 'OPEN'
ORDER BY epssPercentile DESC
LIMIT 50
SINCE 7 days ago

Vulnérabilités actives des ransomwares

Identifier les vulnérabilités exploitées dans les campagnes de ransomware :

FROM Vulnerability
SELECT cveId, affectedPackage, cvssScore, entity.name
WHERE activeRansomware = true
AND state = 'OPEN'
FACET cveId, entity.name
SINCE 30 days ago

Nouvelles vulnérabilités critiques détectées

observateur des nouvelles découvertes critiques :

FROM Vulnerability
SELECT cveId, affectedPackage, affectedVersion, entity.name, detectedAt
WHERE severity = 'CRITICAL'
AND state = 'OPEN'
AND detectedAt > ago(24 hours)
ORDER BY detectedAt DESC

vulnérabilités nécessitant une attention immédiate

Combiner plusieurs facteurs de risque :

FROM Vulnerability
SELECT cveId, entity.name, affectedPackage, cvssScore, epssPercentile
WHERE (
  (severity = 'CRITICAL' AND epssPercentile > 85) OR
  (activeRansomware = true) OR
  (epssPercentile > 95)
)
AND state = 'OPEN'
FACET cveId, entity.name
SINCE 7 days ago

Suivi de l'exposition et des mesures correctives

Temps d'exposition moyen aux vulnérabilités

Calculer le temps moyen de réparation (MTTR) :

FROM Vulnerability
SELECT average((resolvedAt - detectedAt) / 86400) as 'Avg Days to Resolve'
WHERE state = 'CLOSED'
FACET severity
SINCE 90 days ago

Les vulnérabilités ouvertes les plus anciennes

Identifiez les vulnérabilités qui sont restées ouvertes pendant de longues périodes :

FROM Vulnerability
SELECT cveId, entity.name, affectedPackage, detectedAt,
       (max(timestamp) - detectedAt) / 86400 as 'Days Open'
WHERE state = 'OPEN'
FACET cveId, entity.name
ORDER BY 'Days Open' DESC
LIMIT 20
SINCE 90 days ago

vitesse de remédiation

Suivez la rapidité avec laquelle vous résolvez les vulnérabilités :

FROM NrAiIncidentTimeline
SELECT count(*) as 'Vulnerabilities Resolved'
WHERE event = 'STATUS_CHANGED'
AND newState = 'CLOSED'
FACET weekOf(timestamp)
SINCE 90 days ago
TIMESERIES 1 week

vulnérabilités par tranche d'âge

Classer les vulnérabilités par groupe en fonction de leur durée d'ouverture :

FROM Vulnerability
SELECT count(*) as 'Count'
WHERE state = 'OPEN'
FACET cases(
  WHERE (now() - detectedAt) / 86400 <= 7 as '0-7 days',
  WHERE (now() - detectedAt) / 86400 <= 30 as '8-30 days',
  WHERE (now() - detectedAt) / 86400 <= 90 as '31-90 days',
  WHERE (now() - detectedAt) / 86400 > 90 as '> 90 days'
)
SINCE 180 days ago

analyse de packages et de bibliothèques

Bibliothèque la plus vulnérable

Identifier la bibliothèque présentant le plus de vulnérabilités :

FROM Vulnerability
SELECT count(*) as 'Vulnerability Count'
WHERE state = 'OPEN'
FACET affectedPackage
ORDER BY count(*) DESC
LIMIT 10
SINCE 30 days ago

bibliothèque nécessitant des mises à niveau

Trouver le package contenant les correctifs disponibles :

FROM Vulnerability
SELECT affectedPackage, affectedVersion, fixedVersion, count(*) as 'Vulnerable Entities'
WHERE state = 'OPEN'
AND fixedVersion IS NOT NULL
FACET affectedPackage, affectedVersion, fixedVersion
ORDER BY count(*) DESC
LIMIT 20
SINCE 7 days ago

Détection des vulnérabilités par source

Comprendre quelles intégrations trouvent des vulnérabilités :

FROM Vulnerability
SELECT count(*) as 'Detections'
FACET source
SINCE 30 days ago

analyse des dépendances Java

Concentrez-vous sur les vulnérabilités spécifiques à Java :

FROM Vulnerability
SELECT count(*) as 'Vulnerabilities'
WHERE affectedPackage LIKE '%.jar'
OR affectedPackage LIKE '%maven%'
FACET affectedPackage, severity
SINCE 30 days ago

requête spécifique à l'entité

Résumé des vulnérabilités de l'application

Obtenir le nombre de vulnérabilités pour une application spécifique :

FROM Vulnerability
SELECT count(*) as 'Total',
       filter(count(*), WHERE severity = 'CRITICAL') as 'Critical',
       filter(count(*), WHERE severity = 'HIGH') as 'High',
       filter(count(*), WHERE severity = 'MEDIUM') as 'Medium',
       filter(count(*), WHERE severity = 'LOW') as 'Low'
WHERE entity.name = 'YOUR_APP_NAME'
AND state = 'OPEN'
SINCE 1 day ago

Répartition des vulnérabilités de l'hôtel

Analyser les vulnérabilités des hôtes d'infrastructure :

FROM Vulnerability
SELECT count(*) as 'Vulnerabilities'
WHERE entityType = 'HOST'
AND state = 'OPEN'
FACET entity.name, severity
LIMIT 50
SINCE 7 days ago

entité sans scans récents

Identifiez les entités qui pourraient ne pas déclarer de données de vulnérabilité :

FROM Vulnerability
SELECT entity.name, max(timestamp) as 'Last Scan'
FACET entity.name
HAVING max(timestamp) < ago(7 days)
SINCE 30 days ago

Suivi de l'état et workflow

Vulnérabilités ignorées nécessitant un examen

Identifier les vulnérabilités ignorées dont la date de révision approche :

FROM NrAiIncidentTimeline
SELECT incidentId, entity.name, reason, timestamp as 'Ignored At'
WHERE event = 'STATUS_CHANGED'
AND newState = 'IGNORED'
AND timestamp < ago(60 days)
FACET incidentId, entity.name
SINCE 90 days ago

Journal d'audit des modifications de statut

Suivre les personnes qui modifient le statut :

FROM NrAiIncidentTimeline
SELECT timestamp, entity.name, previousState, newState, changedBy, reason
WHERE event = 'STATUS_CHANGED'
ORDER BY timestamp DESC
LIMIT 100
SINCE 30 days ago

taux faux positif

Calculez le nombre de vulnérabilités marquées comme ignorées par rapport à celles qui sont affectées :

FROM NrAiIncidentTimeline
SELECT filter(count(*), WHERE newState = 'IGNORED') as 'Ignored',
       filter(count(*), WHERE newState = 'AFFECTED') as 'Affected',
       percentage(filter(count(*), WHERE newState = 'IGNORED'), count(*)) as 'Ignore Rate %'
WHERE event = 'STATUS_CHANGED'
SINCE 90 days ago

Conformité et rapports

vulnérabilités datant de plus de 30 jours (suivi SLA)

vulnérabilités du moniteur dépassant votre SLA de remédiation :

FROM Vulnerability
SELECT count(*) as 'Overdue Vulnerabilities',
       entity.name,
       severity
WHERE state = 'OPEN'
AND detectedAt < ago(30 days)
FACET entity.name, severity
SINCE 180 days ago

Vulnérabilités critiques temps de réponse

Suivre la rapidité avec laquelle les vulnérabilités critiques sont corrigées :

FROM Vulnerability
SELECT percentile((resolvedAt - detectedAt) / 86400, 50, 75, 90, 95) as 'Days to Resolve'
WHERE severity = 'CRITICAL'
AND state = 'CLOSED'
SINCE 90 days ago

Vulnérabilités métriques mensuelles

Générer des rapports mensuels :

FROM Vulnerability
SELECT count(*) as 'Total Detected',
       uniqueCount(entity.guid) as 'Affected Entities',
       filter(count(*), WHERE severity IN ('CRITICAL', 'HIGH')) as 'High Risk'
FACET monthOf(detectedAt)
SINCE 180 days ago
TIMESERIES 1 month

Analyse avancée

vulnérabilités rayon d'explosion

Identifier les vulnérabilités affectant de nombreuses entités :

FROM Vulnerability
SELECT cveId, count(entity.guid) as 'Affected Entities', max(cvssScore) as 'CVSS'
WHERE state = 'OPEN'
FACET cveId
HAVING count(entity.guid) > 5
ORDER BY count(entity.guid) DESC
LIMIT 20
SINCE 30 days ago

score d'hygiène de sécurité

Calculer un score de sécurité personnalisé :

FROM Vulnerability
SELECT 100 - (
  filter(count(*), WHERE severity = 'CRITICAL') * 10 +
  filter(count(*), WHERE severity = 'HIGH') * 5 +
  filter(count(*), WHERE severity = 'MEDIUM') * 2 +
  filter(count(*), WHERE severity = 'LOW') * 0.5
) as 'Security Score'
WHERE state = 'OPEN'
FACET entity.name
SINCE 1 day ago

tendances des vulnérabilités par type

Comparer les vulnérabilités des applications et de l'infrastructure :

FROM Vulnerability
SELECT count(*) as 'Vulnerabilities'
WHERE state = 'OPEN'
FACET entityType
TIMESERIES AUTO
SINCE 30 days ago

En utilisant ces requêtes

Dans le générateur de requêtes

Rendez-vous sur one.newrelic.com > All capabilities > Query your data
Copiez et collez n'importe quelle requête depuis cette page.
Cliquez sur Run pour afficher les résultats
Ajustez les plages horaires et les filtres selon les besoins.

Dans les dashboards personnalisés

Créez un nouveau dashboard ou modifiez-en un existant.
Ajoutez un widget et sélectionnez Query builder
Collez la requête et configurez la visualisation.
Enregistrez le widget sur votre dashboard

Dans les alertes

Accédez à Alerts > Create a condition
Sélectionnez NRQL query comme type de condition
Utiliser une requête qui renvoie des comptes ou un seuil
Configurer le seuil d'alerte et le canal de notification

Pour plus d'informations sur les alertes, consultez la section Configurer les alertes de vulnérabilités.

Conseils pour personnaliser les requêtes

Remplacer l'espace réservé

'YOUR_APP_NAME' - Remplacez par le nom réel de votre application
'YOUR_ENTITY_GUID' - Remplacez par le GUID de votre entité
Plages horaires (ex. : SINCE 30 days ago) - À adapter selon vos besoins

Combiner avec d'autres données

Joignez les données de vulnérabilités avec des APM ou des métriques d'infrastructure :

FROM Vulnerability, Transaction
SELECT count(Vulnerability.cveId), average(Transaction.duration)
WHERE Vulnerability.entity.guid = Transaction.appId
AND Vulnerability.state = 'OPEN'
FACET Vulnerability.entity.name
SINCE 1 day ago

Exporter les résultats

Tous les résultats de la requête peuvent être :

Téléchargé au format CSV
Ajouté aux dashboards
Exporté via API
Partagé avec votre équipe

Quelle est la prochaine étape ?

Référence de structure de données

Découvrez en détail les types d'événements et leurs attributs.

Configurer des alertes

Créez des alertes basées sur ces requêtes.

Documentation NRQL

Apprenez-en davantage sur la syntaxe NRQL

Cette traduction automatique est fournie pour votre commodité.