調查工作台

這一頁解決什麼

查一個人、一台資產，或一個來源位址，在指定期間內做了什麼。 把連線、指令、操作日誌、檔案傳輸、剪貼簿、告警六類紀錄併到同一條時間軸上， 再從那裡直接發起匯出。這一頁唯讀，不會更動任何紀錄；完整性證明由檢查點鏈出具。

需要什麼

稽核檢視權限。工作台的可見範圍等同這個權限，涵蓋全部使用者與全部資產， 不依調查者自己的資產授權收斂。

怎麼用

1. 選樞紐：以人調查、以資產調查、以來源位址調查。
2. 選主體：前兩者用搜尋框挑，位址樞紐要輸入完整的 IPv4 或 IPv6 位址。
3. 設時間窗：填起訖，或用今天、最近 24 小時、現在前後 30 分鐘等快捷。
4. 選類別：六類可以個別勾選。沒有勾的類別顯示「未納入查詢」，不會顯示成筆數 0。
5. 切檢視：時間軸或表格。

篩選列另有來源位址篩選，以及一個「只看未知來源」，兩者互斥。

調查狀態完整編碼在網址上，包含樞紐、主體、時間窗、類別、焦點事件與位址篩選， 所以一條連結就能把同一個視野交給同事。

位址怎麼串

人與資產樞紐下，事件列與連線列上的來源位址是連結，一鍵切換成以該位址為樞紐的新調查， 時間窗與類別選擇保留。反過來，位址樞紐下的事件帶操作者與資產對造。

位址比對是伺服端正規化之後的精確比對，查詢的單位是單一位址。 取不到位址時顯示為未知，並標明原因是系統動作、無法解析，還是找不到所屬會話。

畫面上有什麼

• 連線總覽：先按資產聚合，展開後逐場一列。每一場標示錄影是可回放、已依保留政策清除，還是無錄影檔。
• 事件明細：時間、類別、摘要、連線對象、帳號、協議、起訖、錄影、來源位址、操作者。
• 覆蓋徽章：逐類別標示保留期內、依政策清除、未曾清除。 標為依政策清除時，附保留天數、最近清除時刻，以及對應的封存單位序號區間與跳往驗證頁的入口。
• 剪貼簿事件在時間軸上不含內容，另有入口帶你到該場會話的內容調閱面，並讓回放定位到那個時刻。

事件太多時，畫面只顯示其中一部分並明說已截斷；篩選列上各類別的筆數是這段期間的實際總數， 不受畫面上限影響。

從調查範圍發起匯出

工具列有「匯出事件報告」與「下載證據包」兩顆按鈕，帶出目前的主體、時間窗與類別， 細節見取證包與事件報告。 匯出的單位是查詢範圍，不是已經載入的那一頁。

稽核看得到什麼

• 對工作台的每一次查詢本身留紀錄，含查詢條件摘要。
• 事件摘要以機器碼加參數回傳，介面查譯，所以同一筆事件在三種語言下指的是同一件事。
• 頁面上有一個來源位址口徑與邊界的區塊，逐條說明位址從哪裡來、未知代表什麼、 代理環境下怎麼判讀，以及每一條由什麼承擔。