azure - 在 azure sentinel 工作簿中向下钻取

Question

在 Splunk 中，我们在仪表板中有向下钻取选项，那么这在 azure sentinel 工作簿中是否可行？考虑我有一个图表（平铺图或饼图），所以当我点击它时，我想打开另一个选项卡。azure sentinel 工作簿中是否有可能？

Answer 1

目前工作簿没有办法纯粹从图表/网格/等中的选择中打开其他视图。

工作簿确实允许将这些选择导出为工作簿中的参数，以允许通过使用这些参数在工作簿中进一步钻取，我相信有几个哨兵工作簿可以做到这一点。工作簿中的链接步骤可以使用这些参数来创建可以打开其他选项卡的链接，但门户网站本身对扩展有限制，阻止它们直接打开选择的其他选项卡。

请参阅：workbooks interactivity docs，其中解释了如何连接它。

Answer 2

您可以对几乎所有 Splunk 可视化使用自定义钻取。请参阅https://docs.splunk.com/Documentation/Splunk/8.0.2/Viz/DrilldownIntro和https://docs.splunk.com/Documentation/Splunk/8.0.2/Viz/DrilldownLinkToURL

您可以编辑仪表板以包含如下所示的代码段，该代码段会将单击的值作为参数传递给目标 URL。

<drilldown>
    <link>
        [target_URL]?q=[$click.value$]
    </link>
</drilldown>

但是，Azure Sentinel Workbook 将要求您能够将参数作为 URL 的一部分传递。