用 Dynatrace Compliance…

当需要基于 Dynatrace 实时可观测性与安全数据评估 EU DORA 合规评分、CIF 健康、事件分类与 ICT 风险输入时使用。

适用场景

解决思路

1. 确认用户询问的是 EU DORA（当前唯一支持的框架），并说明合规评分与所有输出都是基于实时可观测性数据和自动化系统的指示性指标，不构成法律合规判定；绝不可声称某评分/等级/输出意味着组织在法律上合规或不合规。
2. 检查前置条件：从 Dynatrace Hub 安装 Compliance Assistant；确认具备所需权限（storage:buckets:read、storage:events:read、storage:entities:read、storage:metrics:read、storage:filter-segments:read、settings:objects:read、settings:schemas:read、state:app-states:read、hub:catalog:read、storage:security.events:read）。
3. 确认所需数据源已接入：Business Flow（CIF 监控与事件检测，事件分类必需）、Vulnerability events（持续漏洞评估）、Detection finding events（持续网络威胁评估）、Compliance events（ICT 资产安全配置基线验证，由 Security Posture Management 提供）。
4. 解释合规评分（Compliance Snapshot）的等级机制：On Track 最高 100（无任何条件满足）；Low 最高 99（任一低危发现）；Medium 最高 79（任一中危发现，或 ≥1 个未分类事件）；High 最高 59（任一高危发现，或 ≥5 个未分类事件）；Critical 最高 34（任一严重安全检测发现/漏洞/错误配置，或 ≥1 个潜在重大事件）；Major 固定为 5（≥1 个已确认分类的重大事件）。
5. 解释等级内扣分机制：score = 该等级上限 − (6 × 该等级内满足的条件数)，例如 Medium 等级满足 2 个条件时为 79 − 12 = 67。
6. 解释 CIF（关键或重要功能）：通过将 Business Flow 业务流程关联到 DORA 框架来配置，Smartscape on Grail 提供每个 CIF 与其底层 IT 组件的端到端可见性。
7. 解释事件生命周期三态：未分类问题（Davis 问题影响 CIF 但未触发 ≥2 个 DORA 重大性阈值）、潜在重大事件（≥2 个受监控的 DORA 重大性阈值被突破）、已分类重大事件（在 Compliance Assistant 中人工确认为重大，并生成 compliance.incident bizevent 快照）。
8. 说明受监控的 DORA 重大性阈值：受影响的 CIF（爆炸半径）、事件持续时间（24 小时阈值）、经济影响（€100,000 阈值，由受影响 CIF 的每分钟估算成本 × 事件持续时间计算）。
9. 强调事件分类始终是在 Compliance Assistant 应用中执行的人工步骤，不要代替用户对事件进行分类；已分类后生成的 compliance.incident bizevent 可通过 Dynatrace Workflows 触发自动化（如创建带合规影响详情的 ServiceNow 事件或 Jira 工单）。
10. 查询已分类重大事件：执行 DQL `fetch bizevents | filter event.provider == "dynatrace.compliance.assistant" | filter event.type == "compliance.incident"`；若需检索特定事件，追加 `| filter problem.event.id == {{.incident_id:string}}`。
11. 使用已分类事件的关键字段：compliance.cifs_impacted.names/ids、compliance.framework、compliance.incident.classified、compliance.incident.comment、compliance.incident.duration、compliance.incident.duration_criteria、compliance.incident.economic_impact、compliance.incident.economic_impact_criteria、compliance.incident.name、compliance.incident.time.classified、event.provider、event.type、problem.category、problem.event.id、problem.status。
12. 查询 CIF 上的未分类问题与潜在重大事件：以 `fetch dt.davis.problems` 为源，`| expand affected_entity_ids`，依次 join smartscapeNodes "*"（on affected_entity_ids == id_classic）、smartscapeEdges "*"（on entities.id == target_id）、smartscapeNodes "BIZ_FLOW"（on edges.source_id == id），再 lookup 已分类的 compliance.incident bizevent（sourceField: event.id，lookupField: problem.event.id，executionOrder: auto），用 `| filter isNull(lookup.event.id)` 反连接找出尚未分类的问题。
13. 在未分类问题查询中，用 `| filter in(nodes.bizflow.id, {"{{.cif_id_1}}", "{{.cif_id_2}}"})` 限定到配置为 CIF 的 Business Flow 实体；单个 CIF 时用 `| filter nodes.bizflow.id == "{{.cif_id}}"`；CIF ID 取自 Compliance Assistant 中 DORA 框架设置里的 Business Flow 实体 ID。
14. 在未分类问题查询中输出并聚合字段：display_id、name = event.name、status = event.status、cif = nodes.name、affectedEntity = entities.name、event.start、event.end、nodes.bizflow.id、category = event.category，并按 display_id、name 汇总 status、cifIds、cifs、start、end、duration（max(coalesce(event.end, now()) - event.start)）、category，最后 `| limit {{.max_entries:long}}`。
15. 查询 CIF 健康（Business Flow KPI）：执行 `fetch bizevents, from: now()-24h, to: now() | filter event.type == "bizflow.kpis"`，按 bizflow.id 过滤（多个用 or 连接，单个用 `| filter bizflow.id == "<id>"`），`| fieldsAdd timestamp, bizflowId = bizflow.id, bizflowName = bizflow.name`，`| sort timestamp asc`，再按 bizflowId 汇总 takeLast 的 fulfillment（bizflow.analysis.value）、errors（bizflow.errors.value）、timestamp、timeframe（bizflow.query_timeframe.hours）、frequency（bizflow.query_frequency.hours）、bizflowName、analysisLabel（bizflow.analysis.label）。
16. 注意 CIF KPI 数据由 Business Flow 发出（event.type == "bizflow.kpis"），并非由 Compliance Assistant 直接发出；analysisLabel 描述 fulfillment 对该流程的含义（如 "Successful logins"），timeframe 与 frequency 反映 Business Flow 自身配置的查询窗口。
17. 检查合规评分工作流：确认用户询问 DORA → 用评分等级表解释当前等级 → 提醒评分是指示性指标而非法律合规判定 → 若评分下降，识别贡献信号类型（事件、安全检测发现、漏洞、错误配置）→ 引导修复。
18. 调查事件工作流：先确认是已分类事件（有 compliance.incident bizevent）还是未分类/潜在重大问题 → 已分类则运行已分类事件 DQL 并按 problem.event.id 过滤 → 未分类/潜在重大则按相关 CIF ID 运行未分类问题查询 → 展示重大性阈值突破状态（duration_criteria、economic_impact_criteria、cifs_impacted.*）→ 不要代替用户分类事件。
19. 审查 CIF 健康工作流：从 Compliance Assistant 的 DORA 框架设置中获取 CIF 的 Business Flow ID → 用相关 bizflow.id 运行 CIF 健康查询 → 展示每个 CIF 的 fulfillment、errors、analysisLabel → 若数据缺失或过期，检查 Business Flow 监控频率。
20. 提升合规评分：及时处理影响 CIF 的潜在重大事件和未分类问题；修复安全检测发现与漏洞；修复 ICT 资产错误配置（Security Posture Management）；确保监控覆盖（在所有 CIF 上启用实时保护与监控）；并说明提升评分只是降低可观测 ICT 风险，不构成正式合规或法律就绪。
21. 处理 CIF 洞察更新频率问题：CIF KPI 洞察（fulfillment 与 errors）按 Business Flow 中 KPI 监控配置的生成频率更新，评估时间范围也按每个业务流程配置定义；为确保可靠评估并避免长流程数据缺失，将评估时间范围设为流程平均持续时间的至少 3–4 倍（例如平均 5 分钟则至少设 15–20 分钟）。
22. 处理已配置 CIF 不更新的问题：若最近编辑或新增了配置为实体的业务流程并在 Compliance Assistant 中选为 CIF，可能需要等待最长定义的监控频率才会更新；可在业务流程配置中调整监控频率以减少延迟。

适用边界 · 注意事项

• 不要用于 EU DORA 以外的监管框架——SOC2、PCI-DSS、HIPAA、ISO 27001 不受此应用支持。
• 不要用于没有 DORA、CIF 或合规上下文的通用 Davis 问题（应使用 dt-obs-problems），也不要用于未限定到合规或 DORA 的通用漏洞/安全发现查询（应使用应用安全技能）。
• 不要用于没有 "compliance" 或 "DORA" 的通用 "score" 查询（Dynatrace 有多种评分），也不要用它处理通用 DQL 语法帮助（应使用 dt-dql-essentials）、Business Flow 配置或 Security Posture Management 规则配置。