把安全告警/IoC 匹配解析到 Dynatrace…

当需要将安全发现、IoC 匹配或 Smartscape 节点映射到运行时实体（容器/工作负载/主机/云/GenAI 服务），并跨实体层级关联或做实体级风险汇总时使用。

适用场景

解决思路

1. 先加载 dt-dql-essentials：DQL 语法和函数名与 SQL 不同，生成查询前先确认所有函数。
2. 每条查询都基于命名模板，不要自创 Smartscape join；3-way match、digest→CONTAINER→workload、pod→node 遍历模式都很精确，偏离会产生静默的零行结果。
3. 在执行完整 3-way 富化前先跑 pre-flight 检查：外部 provider 差异很大，先确认至少一条标识路径已填充，再运行昂贵的 append 链。
4. 信任 Path 1 前先检查 dt.smartscape_source.type：非空 dt.smartscape_source.id 并不代表已解析到工作负载级，该字段可能指向 namespace、cluster 或云资源；只有 K8s 工作负载类型（K8S_DEPLOYMENT、K8S_DAEMONSET、K8S_STATEFULSET、K8S_CRONJOB、K8S_JOB、K8S_REPLICASET）才可通过 Path 1 做工作负载富化。
5. 尽早去重并在 append 后再次去重：join 前去重以合并重复摄入的数据；append 后再次去重，因为同一发现可能匹配多条路径。
6. Tier 3 关联仅作上下文：两个发现共享同一 namespace/cluster 不会提升暴露评分，绝不要把集群级共享属性当作实体级关联的证据。
7. 把拓扑查询路由到 dt-obs-kubernetes：pod→node 放置和 Smartscape 边遍历模式位于 dt-obs-kubernetes/references/pod-node-placement.md，不要在此重写，引用它们并在 correlation-and-coverage.md 中应用输出。
8. 不要加 dt.system.bucket 过滤：安全事件数据可能位于任意 bucket，按 bucket 过滤有隐藏发现的风险。
9. THREAT_REPORT 是此处唯一允许的 security.events 查询，且仅用于反向查找：ioc-enrichment.md 把已匹配的 IoC 归属到报告（IoC → report）；广泛的 THREAT_REPORT 概览、IOC 汇总和正向 report → 环境关联留在 dt-sec-insights（threat-intelligence.md），绝不要在此编写 finding/posture 查询。
10. 身份→Smartscape 映射：给定携带 dt.smartscape_source.id、container_image.digest、container_image.id、host.ip、dt.entity.* 或 k8s.* 字段的行，将其解析到任意请求层级（CONTAINER / K8S_POD / workload / K8S_NODE / HOST / cloud / GENAI_SERVICE）的 Smartscape 实体。
11. 制品→运行时桥接：container_image.digest → smartscapeNodes CONTAINER → is_part_of.* → 父工作负载，或 runs_on.host → HOST；无需预先富化的 dt.smartscape_source.id 即可工作。
12. 跨层级关联：用分层实体匹配判断两个发现（如来自不同分支的 detection 与 CVE）是否通过共享运行时实体相关。Tier 1：实体 id 精确匹配；Tier 2：按名称匹配同一 workload/pod/host；Tier 3：同一 namespace/cluster（仅上下文，不计入评分）。
13. Pod → Node 拓扑：通过 k8s.node.name（共投影字段）或 Smartscape 边遍历把 K8S_POD 解析到其 K8S_NODE，支持“detection 命中 pod X——该 pod 是否运行在易受攻击的节点上？”
14. 覆盖匹配配方：使用 dt-sec-insights 覆盖计数查询共享的 2-way 和 3-way container→workload 匹配模式。
15. 实体富化：给定发现、IoC 匹配或原始 Smartscape 节点，产出按实体的风险级别细分和实体键 bundle，供下游评分使用。
16. IoC 富化：对已匹配的 IoC（IP / domain / URL / email / CVE / hash / MITRE TTP），通过反向查找已摄入的 THREAT_REPORT 事件（其 observable 数组包含该 IoC）来补充对手上下文（actor、malware family、MITRE technique、targeting、provider）。

适用边界 · 注意事项

• 不要用于广泛的安全态势/概览查询（应使用 dt-sec-insights）。
• 不要用于通用 DQL 编写（应使用 dt-dql-essentials）。
• 不要用于日志/span 中的 IoC 狩猎（应使用 dt-sec-ioc-hunting），也不要用于安全跨层上下文之外的 K8s 可观测性（应使用 dt-obs-kubernetes）。