虽然各类型的工作流程中的数据不同，但是所有工作流程都共享公共的功能集。工作流程可以包含若干类型的页面。可以在工作流程页面上执行的操作取决于页面类型。

通过工作流程中的向下钻取页面和表视图页面，您可以快速缩小数据视图的范围，从而能够专注于对分析至关重要的事件。表视图页面和向下钻取页面都支持许多可用于限制要查看的事件集或浏览工作流程的功能。当查看工作流程中的向下钻取页面或表视图中的数据时，可以基于任何可用列对数据进行升序或降序排序。如果数据库包含的事件数超过单个工作流程页面上可显示的事件数，则可点击页面底部的链接以显示更多事件。点击其中一个链接时，时间窗口自动暂停，以便不会重复显示相同事件；当您准备就绪时，可以取消暂停时间窗口。

在多域部署中，可以查看当前域和任何后代域的数据。不能从更高级别的域或同级域查看数据。

工作流程页面提供视觉提示，以方便在各页面之间导航并选择要在事件分析过程中显示的信息。

您可以利用地理位置数据库 (GeoDB) 根据国家/地区和大洲查看和过滤流量。请注意，对于检测到在不同国家/地区之间移动的移动设备和其他主机，系统可能会报告大洲而不是具体的国家/地区。

系统随附一个将 IP 地址映射到国家/地区/大洲的初始 GeoDB 国家/地区代码包 ，因此信息应始终可用。如果您更新 GeoDB，系统还会下载 包含 情景数据的 IP 数据包。这可能包括：

• 地区（州、省或其他国家/地区）、城市和邮政编码。

• 纬度/经度、时区和可点击地图。

• 自治系统编号 (ASN)，以及与该 ASN 有关的其他信息。

• 互联网服务提供商 (ISP)、连接类型和代理类型。

• 家庭/企业、组织和域名信息。

要查看此信息，请点击事件、资产配置文件、情景管理器、控制面板和其他分析工具中出现的小国家/地区标志图标和 ISO 国家/地区代码。无法在“连接摘要”(Connection Summary) 之类的控制面板上查看地理定位详细信息来获取汇聚的地理定位信息。

注	我们定期发布 GeoDB 更新。您必须定期更新 GeoDB 以获取准确的地理位置信息；请参阅 更新地理位置数据库 (GeoDB)。

除使用表格向下钻取页面的工作流程和事件的最终表格视图之外，系统可以用在五分钟间隔内汇聚的数据以图形方式展示某些连接数据。请注意，您只可以用图形显示用于汇聚数据的信息：源和目标 IP 地址（以及那些主机的关联用户）、目标端口、传输协议以及应用协议。

提示	您无法将安全情报事件与其关联连接事件分开单独用图形展示。有关安全情报过滤活动的图形概述，请使用控制面板和情景管理器。

有三种不同类型的连接图形：

• 饼形图，显示按各种类别分组的一个数据集中的数据。

• 条形图，显示按各种类别分组的一个或多个数据集中的数据。

• 曲线图，用标准或速度（更改速率）视图图示一个或多个数据集随着时间推移的数据。

注	系统用曲线图显示流量量变曲线，您可以操作其他任何连接图的方式操作这些图形，但会有一些限制。要查看流量量变曲线，您必须具有管理员访问权限。

与工作流程表一样，您可以向下钻取并限制工作流程图，以重点关注您的分析。

条形图和曲线图可以显示多个数据集；也就是说，它们可以在 y 轴为每个 x 轴数据点显示几个值。例如，您可以显示独立发起方和响应方的总数。饼形图只能显示一个数据集。

通过改变 x 轴、y 轴或者 x 轴和 y 轴，可以在连接图上显示不同的数据和数据集。在饼形图上改变 x 轴可以改变自变量，改变 y 轴可以改变因变量。

每个事件具有指示事件发生时间的时间戳。可以通过设置时间窗口（有时称为时间范围）限制某些工作流程中显示的信息。

基于可按时间限制的事件的工作流程在页面顶部具有一条时间范围线。

默认情况下，工作流程使用设置为前一小时的扩展式时间窗口。例如，如果您在上午 11:30 登录，将会看到发生在上午 10:30 和上午 11:30 之间的事件。随着时间的推进，时间窗口进行扩展。在中午 12:30，您将会看到发生在上午 10:30 和中午 12:30 之间的事件。

可以通过在事件视图设置中设置自己的默认时间窗口来更改此行为：该时间窗口管理三个属性：

• 时间窗口类型（静态、扩展式或滑动式）

• 时间窗口长度

• 时间窗口数量（多个时间窗口或单个全局时间窗口）

无论默认时间窗口设置如何，都可以在事件分析期间手动更改时间窗口，方法是点击页面顶部的时间范围，该页面会显示“日期/时间”(Date/Time) 弹出窗口。根据配置的时间窗口数量和使用的设备类型，还可以使用“日期/时间”(Date/Time) 窗口更改所查看的事件类型的默认时间窗口。

最后，您可以在查看滑动式或扩展式工作流程时暂停时间窗口。请参阅暂停时间窗口以暂时冻结数据集。

工作流程页面上显示的信息由实施的限制来确定。例如，最初打开事件工作流程时，信息限制为前一小时生成的事件。

要前进到工作流程中的下一页并通过特定值限制所查看的数据，请选择页面上具有这些值的行，然后点击查看 (View)。要前进到工作流程中的下一页并保留当前限制和传递所有事件，请选择查看全部 (View All)。

注	如果选择含有多个非计数值的行并点击查看 (View)，则会创建复合限制。

限制工作流程中的数据有第三种方法。要将页面限制为含有选定值的行，并且还将选定值添加到页面顶部的限制列表中，请点击页面上某一行中的值。例如，如果查看的是已记录连接的列表，并要使用访问控制将该列表仅限于允许的连接，请点击操作 (Action) 列中的允许 (Allow)。又例如，如果查看的是入侵事件，并要将列表仅限于目标端口为 80 的事件，请点击目标端口/ICMP 代码 (Destination Port/ICMP Code) 列中的 80 (http)/tcp。

提示	根据监控规则条件来限制连接事件的程序略有不同，可能需要采取一些额外步骤。此外，不能按关联文件或入侵信息来限制连接事件。

还可以使用搜索来限制工作流程中的信息。要根据一列中的多个值进行限制时，请使用此功能。例如，如果要查看与两个 IP 地址相关的事件，请点击编辑搜索 (Edit Search)，然后修改“搜索”(Search) 页面上相应的 IP 地址字段以将两个地址均包含在内，然后点击搜索 (Search)。

在搜索页面上输入的搜索条件会列为页面顶部的限制，并且产生的事件相应地受限制。在 管理中心中，除非当前限制是复合限制，否则导航到其他工作流程时也会应用这些限制。

在搜索时，必须特别注意搜索限制是否适用于所搜索的表。例如，客户端数据在连接摘要中不可用。如果根据连接中检测到的客户端搜索连接事件，然后在连接摘要事件视图中查看结果，则 管理中心会显示连接数据，如同其完全未受限制一样。无效限制会标示为不适用 (N/A)，并带有删除线标记。

复合限制基于特定事件的所有非计数值。选择含有多个非计数值的行时，需要设置复合限制，该限制仅检索与该页面上的该行中所有非计数值都匹配的事件。例如，如果选择源 IP 地址为 10.10.31.17 且目标 IP 地址为 10.10.31.15 的行以及源 IP 地址为 172.10.10.17 且目标 IP 地址为 172.10.10.15 的行，则会检索下列所有内容：

• 源 IP 地址为 10.10.31.17 且目标 IP 地址为 10.10.31.15 的事件

  或

• 源 IP 地址为 172.10.31.17 且目标 IP 地址为 172.10.31.15 的事件

将复合限制与简单限制组合时，简单限制分布在各复合限制集合中。例如，如果在以上所列的复合限制中为协议值 tcp 添加了一条简单限制，则会检索下列所有内容：

• 源 IP 地址为 10.10.31.17 且目标 IP 地址为 10.10.31.15 且协议为 tcp 的事件

  或

• 源 IP 地址为 172.10.31.17 且目标 IP 地址为 172.10.31.15 且协议为 tcp 的事件

不能对复合限制执行搜索或保存搜索操作。您也不能在使用事件视图链接或点击（切换工作流程）以切换到其他工作流程时保留复合限制。如果将应用了复合限制的事件视图加入书签，则不使用书签保存限制。

您可以使用工作流程页面上的跳至...(Jump to...） 下拉列表中的链接导航到其他工作流程。选择下拉列表以查看并选择其他工作流程。

选择新工作流程时，所选行共享的属性和所设置的限制用于新工作流程中（如果其适用）。如果配置的限制或事件属性没有映射到新工作流程中的字段，则表明其已丢弃。此外，从一个工作流程切换到另一个工作流程时未保留复合限制。而且，捕获的文件工作流程中的限制仅传输到文件和恶意软件事件工作流程。

注	查看某个时间范围的事件计数时，事件的总数可能无法反映为其提供了更详细数据的事件的数量。因为系统有时会删掉较旧的事件详情以管理磁盘空间使用情况，所以会发生这种情况。要将事件详情删除的情况降到最少，您可以微调事件日志记录，以只记录对部署最重要的事件。

请注意，除非已暂停时间段或已配置静态时间段，否则在更改工作流程时时间段会更改。

此功能可增强您调查可疑活动的能力。例如，如果查看的是连接数据并发现内部主机在向外部站点传送异常大量的数据，则可以选择响应方 IP 地址和端口作为限制，然后跳至应用 (Applications) 工作流程。应用工作流程将使用响应方 IP 地址和端口作为 IP 地址和端口限制，并显示有关应用的其他信息，如应用的种类。也可以点击页面顶部的主机 (Hosts) 以查看远程主机的主机配置文件。

在找到有关应用的详细信息后，可以选择关联事件以返回到连接数据工作流程，从限制中删除响应方 IP，向限制中添加发起方 IP，然后选择应用详细信息以了解发起主机上的用户在将数据传输到远程主机时使用了哪个客户端。请注意，端口限制未转移到“应用详细信息”(Application Details) 页面。保持本地主机作为限制时，也可以使用其他导航按钮查找其他信息。

• 要发现本地主机是否已违反任何策略，请保持 IP 地址作为限制并从跳至 (Jump to) 下拉列表中选择关联事件 (Correlation Events)。

• 要了解是否对主机触发了指示危害的入侵规则，请从跳至 (Jump to) 下拉列表中选择入侵事件 (Intrusion Events)。

• 要查看本地主机的主机配置文件并确定主机是否易受可能已被利用的任何漏洞的攻击，请从跳至 (Jump to) 下拉列表中选择主机 (Hosts)。