Exemplos de consulta de dados de segurança

Este guia fornece consultas NRQL prontas para uso em cenários comuns de monitoramento e análise de segurança. Copie essas consultas no criador de consultas ou adicione-as ao dashboard personalizado para obter insights mais profundos sobre seus dados de vulnerabilidade.

Para obter informações sobre a estrutura de dados subjacente, consulte a Referência da estrutura de dados de segurança.

Relatórios executivos

Total de vulnerabilidades abertas por gravidade

Obtenha uma visão geral da sua exposição a vulnerabilidades:

FROM Vulnerability
SELECT count(*) as 'Total Vulnerabilities'
WHERE state = 'OPEN'
FACET severity
SINCE 1 day ago

Tendências críticas e de alta gravidade

Acompanhe como as vulnerabilidades críticas mudam ao longo do tempo:

FROM Vulnerability
SELECT count(*) as 'Critical & High Vulnerabilities'
WHERE severity IN ('CRITICAL', 'HIGH')
AND state = 'OPEN'
TIMESERIES AUTO
SINCE 30 days ago

por entidade

Identifique qual aplicativo ou host tem o maior número de vulnerabilidades:

FROM Vulnerability
SELECT count(*) as 'Vulnerability Count'
WHERE state = 'OPEN'
FACET entity.name
LIMIT 20
SINCE 1 day ago

distribuição de vulnerabilidades no portfólio

Compreenda a disseminação de vulnerabilidades:

FROM Vulnerability
SELECT percentage(count(*), WHERE severity = 'CRITICAL') as 'Critical %',
       percentage(count(*), WHERE severity = 'HIGH') as 'High %',
       percentage(count(*), WHERE severity = 'MEDIUM') as 'Medium %',
       percentage(count(*), WHERE severity = 'LOW') as 'Low %'
WHERE state = 'OPEN'
SINCE 1 day ago

Priorização e avaliação de riscos

Vulnerabilidades de alta prioridade

Identificar vulnerabilidades com alta probabilidade de exploração:

FROM Vulnerability
SELECT cveId, affectedPackage, affectedVersion, cvssScore, epssPercentile
WHERE epssPercentile > 90
AND state = 'OPEN'
ORDER BY epssPercentile DESC
LIMIT 50
SINCE 7 days ago

Vulnerabilidades de ransomware ativo

Identificar vulnerabilidades exploradas em campanhas de ransomware:

FROM Vulnerability
SELECT cveId, affectedPackage, cvssScore, entity.name
WHERE activeRansomware = true
AND state = 'OPEN'
FACET cveId, entity.name
SINCE 30 days ago

recém-detectadas condições críticas

Acompanhe para identificar novas descobertas críticas:

FROM Vulnerability
SELECT cveId, affectedPackage, affectedVersion, entity.name, detectedAt
WHERE severity = 'CRITICAL'
AND state = 'OPEN'
AND detectedAt > ago(24 hours)
ORDER BY detectedAt DESC

(que exigem atenção imediata)

Combinar múltiplos fatores de risco:

FROM Vulnerability
SELECT cveId, entity.name, affectedPackage, cvssScore, epssPercentile
WHERE (
  (severity = 'CRITICAL' AND epssPercentile > 85) OR
  (activeRansomware = true) OR
  (epssPercentile > 95)
)
AND state = 'OPEN'
FACET cveId, entity.name
SINCE 7 days ago

Monitoramento de exposição e remediação

Tempo médio de exposição às vulnerabilidades

Calcular o tempo médio para remediação (MTTR):

FROM Vulnerability
SELECT average((resolvedAt - detectedAt) / 86400) as 'Avg Days to Resolve'
WHERE state = 'CLOSED'
FACET severity
SINCE 90 days ago

Caçambas abertas de funcionamento mais longo

Encontre vulnerabilidades que estejam abertas há longos períodos:

FROM Vulnerability
SELECT cveId, entity.name, affectedPackage, detectedAt,
       (max(timestamp) - detectedAt) / 86400 as 'Days Open'
WHERE state = 'OPEN'
FACET cveId, entity.name
ORDER BY 'Days Open' DESC
LIMIT 20
SINCE 90 days ago

Velocidade de remediação

Acompanhe a rapidez com que você está resolvendo vulnerabilidades:

FROM NrAiIncidentTimeline
SELECT count(*) as 'Vulnerabilities Resolved'
WHERE event = 'STATUS_CHANGED'
AND newState = 'CLOSED'
FACET weekOf(timestamp)
SINCE 90 days ago
TIMESERIES 1 week

vulnerabilidades por faixa etária

Agrupe as vulnerabilidades por tempo em que estiveram abertas:

FROM Vulnerability
SELECT count(*) as 'Count'
WHERE state = 'OPEN'
FACET cases(
  WHERE (now() - detectedAt) / 86400 <= 7 as '0-7 days',
  WHERE (now() - detectedAt) / 86400 <= 30 as '8-30 days',
  WHERE (now() - detectedAt) / 86400 <= 90 as '31-90 days',
  WHERE (now() - detectedAt) / 86400 > 90 as '> 90 days'
)
SINCE 180 days ago

Análise de pacotes e bibliotecas

Biblioteca mais vulnerável

Identifique a biblioteca apresentando as maiores vulnerabilidades:

FROM Vulnerability
SELECT count(*) as 'Vulnerability Count'
WHERE state = 'OPEN'
FACET affectedPackage
ORDER BY count(*) DESC
LIMIT 10
SINCE 30 days ago

biblioteca que precisa de atualizações

Encontre pacotes com correções disponíveis:

FROM Vulnerability
SELECT affectedPackage, affectedVersion, fixedVersion, count(*) as 'Vulnerable Entities'
WHERE state = 'OPEN'
AND fixedVersion IS NOT NULL
FACET affectedPackage, affectedVersion, fixedVersion
ORDER BY count(*) DESC
LIMIT 20
SINCE 7 days ago

Detecção de vulnerabilidades por fonte

Entenda quais interações estão encontrando vulnerabilidades:

FROM Vulnerability
SELECT count(*) as 'Detections'
FACET source
SINCE 30 days ago

Análise de Java

Foco nas vulnerabilidades específicas do Java:

FROM Vulnerability
SELECT count(*) as 'Vulnerabilities'
WHERE affectedPackage LIKE '%.jar'
OR affectedPackage LIKE '%maven%'
FACET affectedPackage, severity
SINCE 30 days ago

consultoria específica da entidade

Resumo das vulnerabilidades do aplicativo

Obtenha a contagem de vulnerabilidades para um aplicativo específico:

FROM Vulnerability
SELECT count(*) as 'Total',
       filter(count(*), WHERE severity = 'CRITICAL') as 'Critical',
       filter(count(*), WHERE severity = 'HIGH') as 'High',
       filter(count(*), WHERE severity = 'MEDIUM') as 'Medium',
       filter(count(*), WHERE severity = 'LOW') as 'Low'
WHERE entity.name = 'YOUR_APP_NAME'
AND state = 'OPEN'
SINCE 1 day ago

Análise das vulnerabilidades do host

Analisar vulnerabilidades em hosts de infraestrutura:

FROM Vulnerability
SELECT count(*) as 'Vulnerabilities'
WHERE entityType = 'HOST'
AND state = 'OPEN'
FACET entity.name, severity
LIMIT 50
SINCE 7 days ago

entidade sem exames recentes

Identifique a entidade que pode não estar reportando dados de vulnerabilidades:

FROM Vulnerability
SELECT entity.name, max(timestamp) as 'Last Scan'
FACET entity.name
HAVING max(timestamp) < ago(7 days)
SINCE 30 days ago

Rastreamento de status e fluxo de trabalho

Vulnerabilidades ignoradas que requerem revisão

Encontre vulnerabilidades ignoradas que estão próximas da data de revisão:

FROM NrAiIncidentTimeline
SELECT incidentId, entity.name, reason, timestamp as 'Ignored At'
WHERE event = 'STATUS_CHANGED'
AND newState = 'IGNORED'
AND timestamp < ago(60 days)
FACET incidentId, entity.name
SINCE 90 days ago

Registro de auditoria de alterações de status

Acompanhe quem está fazendo alterações de status:

FROM NrAiIncidentTimeline
SELECT timestamp, entity.name, previousState, newState, changedBy, reason
WHERE event = 'STATUS_CHANGED'
ORDER BY timestamp DESC
LIMIT 100
SINCE 30 days ago

taxa de falsos positivos

Calcule quantas vulnerabilidades foram marcadas como ignoradas em comparação com as afetadas:

FROM NrAiIncidentTimeline
SELECT filter(count(*), WHERE newState = 'IGNORED') as 'Ignored',
       filter(count(*), WHERE newState = 'AFFECTED') as 'Affected',
       percentage(filter(count(*), WHERE newState = 'IGNORED'), count(*)) as 'Ignore Rate %'
WHERE event = 'STATUS_CHANGED'
SINCE 90 days ago

Conformidade e relatórios

vulneráveis com mais de 30 dias (rastreamento de SLA)

Monitore as vulnerabilidades que excedem seu SLA de correção:

FROM Vulnerability
SELECT count(*) as 'Overdue Vulnerabilities',
       entity.name,
       severity
WHERE state = 'OPEN'
AND detectedAt < ago(30 days)
FACET entity.name, severity
SINCE 180 days ago

Vulnerabilidades críticas tempo de resposta

Acompanhe a rapidez com que as vulnerabilidades críticas são corrigidas:

FROM Vulnerability
SELECT percentile((resolvedAt - detectedAt) / 86400, 50, 75, 90, 95) as 'Days to Resolve'
WHERE severity = 'CRITICAL'
AND state = 'CLOSED'
SINCE 90 days ago

Vulnerabilidades métricas mensais

Gerar relatórios mensais:

FROM Vulnerability
SELECT count(*) as 'Total Detected',
       uniqueCount(entity.guid) as 'Affected Entities',
       filter(count(*), WHERE severity IN ('CRITICAL', 'HIGH')) as 'High Risk'
FACET monthOf(detectedAt)
SINCE 180 days ago
TIMESERIES 1 month

Análise avançada

raio de explosão

Identifique vulnerabilidades que afetam muitas entidades:

FROM Vulnerability
SELECT cveId, count(entity.guid) as 'Affected Entities', max(cvssScore) as 'CVSS'
WHERE state = 'OPEN'
FACET cveId
HAVING count(entity.guid) > 5
ORDER BY count(entity.guid) DESC
LIMIT 20
SINCE 30 days ago

Índice de higiene de segurança

Calcule uma pontuação de segurança personalizada:

FROM Vulnerability
SELECT 100 - (
  filter(count(*), WHERE severity = 'CRITICAL') * 10 +
  filter(count(*), WHERE severity = 'HIGH') * 5 +
  filter(count(*), WHERE severity = 'MEDIUM') * 2 +
  filter(count(*), WHERE severity = 'LOW') * 0.5
) as 'Security Score'
WHERE state = 'OPEN'
FACET entity.name
SINCE 1 day ago

tendências de ofertas por tipo

Compare vulnerabilidades de aplicativo vs infraestrutura:

FROM Vulnerability
SELECT count(*) as 'Vulnerabilities'
WHERE state = 'OPEN'
FACET entityType
TIMESERIES AUTO
SINCE 30 days ago

Utilizando essas consultas

No criador de consulta

Acesse one.newrelic.com > All capabilities > Query your data
Copie e cole qualquer consulta desta página.
Clique em Run para ver os resultados.
Ajuste os intervalos de tempo e os filtros conforme necessário.

No dashboards personalizados

Crie um novo dashboard ou edite um existente.
Adicione um widget e selecione Query builder
Cole a consulta e configure a visualização.
Salve o widget no seu dashboard

Em alertas

Acesse Alerts > Create a condition
Selecione NRQL query como tipo de condição.
Use consultas que retornem contagens ou limites
Configurar limite de alerta e canal de notificação

Para obter mais informações sobre alertas, consulte Configurar alertas de vulnerabilidades.

Dicas para personalizar a consulta

Substituir reservado

'YOUR_APP_NAME' Substitua pelo nome real do seu aplicativo.
'YOUR_ENTITY_GUID' Substitua pelo GUID da sua entidade.
Intervalos de tempo (ex.: SINCE 30 days ago) - Ajuste conforme necessário.

Combine com outros dados

Junte dados de vulnerabilidades com APM ou infraestrutura métrica:

FROM Vulnerability, Transaction
SELECT count(Vulnerability.cveId), average(Transaction.duration)
WHERE Vulnerability.entity.guid = Transaction.appId
AND Vulnerability.state = 'OPEN'
FACET Vulnerability.entity.name
SINCE 1 day ago

Exportar resultados

Todos os resultados da consulta podem ser:

Baixado como CSV
Adicionado ao dashboard
Exportado via API
Compartilhado com sua equipe

Qual é o próximo?

Referência da estrutura de dados

Aprenda mais sobre tipos de eventos e atributos em detalhes.

Configurar alerta

Crie alertas com base nessas consultas.

Documentação NRQL

Saiba mais sobre a sintaxe NRQL.

Esta tradução de máquina é fornecida para sua comodidade.