Malcolm 已經產生大量資料之後，分析人員要如何把資料「看懂、比較、縮小範圍、找出異常」？

Malcolm OpenSearch Dashboards：資料很多之後，怎麼真正看懂？

Malcolm 收集與整理大量網路資料後，下一個問題就會出現：

「資料都在裡面了，但我要怎麼快速找到值得注意的東西？」

這就是 OpenSearch Dashboards 在 Malcolm 裡的主要角色。

它不是單純把資料「畫成圖」，而是提供一個讓分析人員從不同視角觀察資料的操作介面。Malcolm 已經預先準備大量針對 Zeek Logs 的 Visualization 與 Dashboard，同時也允許使用者自行建立新的圖表、表格、地圖與 Dashboard。Malcolm

所以這一頁真正值得理解的是：

資料 → 搜尋 → 篩選 → 視覺化 → 找出異常 → 再深入分析

本文將讓你學到

本文將 dashboards.html 整理成 6 大項：

1. OpenSearch Dashboards 在 Malcolm 裡到底負責什麼？
2. Discover：如何從大量紀錄中快速找資料？
3. 預建 Dashboard：Malcolm 已經幫你整理了什麼？
4. 互動式圖表：如何從「總覽」一路縮小到問題範圍？
5. Dashboard 能看到哪些面向？
6. 自訂 Dashboard：企業如何建立自己的觀察畫面？

一、OpenSearch Dashboards 在 Malcolm 裡到底負責什麼？

先釐清它的位置。

OpenSearch Dashboards 是一套一般用途的資料視覺化工具，Malcolm 將它用來呈現 OpenSearch 中的網路資料。與 Arkime 的視覺化功能相比，OpenSearch Dashboards 更偏向「資料整理、統計與客製化呈現」。官方也特別指出，它可以使用相同資料建立 Tables、Charts、Graphs、Dashboards 等不同形式的視覺化。Malcolm

所以可以把它定位成：

Malcolm 的「觀察層」，負責把大量資料轉換成容易判讀的資訊。

它比較適合回答：

「最近網路活動有什麼變化？」

「哪種類型的事件最多？」

「哪些資料值得進一步調查？」

「某個時間區段是不是突然出現異常？」

「某一類網路活動集中在哪裡？」

這和前面 Arkime 的角色不同。

Arkime 偏向深入查看特定網路活動；OpenSearch Dashboards 則更適合先從大範圍資料中建立「全貌」。

二、Discover：不是看漂亮圖表，而是直接找資料

OpenSearch Dashboards 的第一個重要功能是 Discover。

它的概念很簡單：

不用先看 Dashboard，而是直接逐筆查看資料。

官方將 Discover 描述為逐筆查看事件紀錄的方式，概念上類似查看單一 Session 或 Zeek Log 的單筆資料。Malcolm

這個模式比較適合「我已經知道我要找什麼」。

例如：

「找某個時間發生的事件。」

「找某個來源的紀錄。」

「只看符合某個 Tag 的資料。」

「只顯示特定欄位。」

官方畫面也展示了：

• 查看單筆資料
• 查看 Session 詳細內容
• 依 Tag 篩選
• 修改顯示欄位
• 開啟之前儲存的搜尋條件

等操作。Malcolm

可以把 Discover 理解成：

資料檢索工作區。

它不是以「漂亮」為目的，而是讓分析人員可以直接接近原始資料。

因此，如果 Dashboard 是：

「先看整體。」

那 Discover 就是：

「直接找資料。」

三、預建 Dashboard：Malcolm 已經幫你準備好哪些觀察視角？

這是 dashboards.html 很重要的一個部分。

Malcolm 並不是把一個空白的 OpenSearch Dashboard 丟給使用者自己慢慢做。

官方已經提供數十個預建 Visualization 與 Dashboard，主要根據不同的 Zeek Log Type 整理。Malcolm

也就是說，安裝 Malcolm 後，使用者不需要從零開始思考：

「我要畫什麼圖？」

「哪些欄位要放一起？」

「怎麼設計 Dashboard？」

官方已經提供一組可以直接使用的觀察模板。

其中包括不同層級的視角，例如：

官方頁面同時還展示了 DNP3、Modbus、BACnet、EtherCAT、EtherNet/IP、PROFINET、S7comm 等特定工控協定 Dashboard。Malcolm

因此，Malcolm 的 Dashboard 並不是單純：

「流量統計圖。」

而是：

依照不同調查主題，預先建立一組觀察視角。

四、互動式圖表：真正重要的是「點下去之後會發生什麼」

這一點是 Dashboard 最容易被低估的地方。

一般人看到 Dashboard，可能只想到：

「上面有幾張圖。」

但 Malcolm 官方特別強調，這些 Charts、Graphs、Maps、Tables 都具有互動性。

也就是：

圖表本身就是查詢工具。

例如某張圖顯示：

「某個來源突然出現大量活動。」

分析人員可以直接點選這個區域，縮小目前資料範圍。

原本可能看：

「整個網路。」

點選後變成：

「這一段時間。」

再進一步：

「這一台主機。」

再進一步：

「這一類事件。」

官方明確說明，Dashboard 中的圖表、圖形、地圖與表格都可以點選，進而縮小或擴大正在調查的資料範圍。Malcolm

因此 Dashboard 的操作模式比較接近：

Overview → Filter → Focus → Investigate

而不是：

Overview → 看完就結束

這也是它真正的分析價值。

五、Dashboard 到底能從哪些面向觀察網路？

Malcolm 的 Dashboard 並不是只有一種「總覽」。

從官方預建內容可以看出，它實際上提供幾種不同的觀察維度。

1. 安全事件視角

例如：

Security Overview

Suricata Alerts

Zeek Notices

這種 Dashboard 適合快速掌握：

「哪裡有安全相關訊號？」

2. 網路活動視角

例如 Connections。

可以把注意力放在：

「哪些來源或目的地活動最頻繁？」

官方畫面也展示了所謂的 Top Talkers，以及 GeoIP 位置資訊的 Connections 視覺化。Malcolm

3. 協定視角

例如：

HTTP

SMTP

SSL

以及不同 ICS / OT Protocol。

這種方式適合針對特定服務或網路環境進行觀察。

4. 檔案與軟體視角

例如：

Files

PE

Software

File Scanning

這些 Dashboard 已經從「網路連線」進一步轉向：

「網路上傳輸了什麼？」

「看到什麼軟體？」

「檔案掃描結果如何？」

5. 地理位置視角

Malcolm 也提供使用 GeoIP 資訊建立的視覺化，包括座標型地圖與區域型地圖。Malcolm

這讓分析人員可以把資料從：

「IP 清單」

轉變成：

「地理分布」。

例如快速觀察外部通訊主要集中在哪些地區。

6. IT、ICS、IoT 分流

官方 Dashboard Reference 特別涵蓋 IT、ICS、IoT 流量，代表 Malcolm 不只是以一般企業 IT 網路作為觀察對象。Malcolm

這種設計的意義在於：

不同環境，應該有不同的觀察方式。

企業辦公網路與工業控制網路，不應該使用完全相同的 Dashboard。

六、自訂 Dashboard：真正導入企業後，最有價值的是建立自己的觀察方式

預建 Dashboard 解決的是：

「先讓你有東西可以看。」

但企業正式使用後，通常會遇到下一個問題：

「我們真正關心的資料，官方預設畫面不一定完全符合。」

因此 OpenSearch Dashboards 允許使用者建立自己的：

• Tables
• Charts
• Graphs
• Maps
• Dashboards

官方也直接提供 OpenSearch Dashboards 與 Kibana 文件，讓使用者建立自訂 Visualization 與 Dashboard。Malcolm

這代表企業可以從「通用 Dashboard」慢慢發展成「自己的 SOC Dashboard」。

例如可以設計：

這時候 Dashboard 就不再只是：

「圖表展示頁面。」

而是：

把資安團隊自己的分析方法固定下來。

換句話說，一個好的 Dashboard 不只是告訴你資料有多少，而是把「分析師習慣怎麼看事件」變成固定的操作介面。

Malcolm Dashboards 六大項總整理

把 Dashboards 放回 Malcolm，應該怎麼理解？

這次不重新介紹前面已經說過的元件，而只從「使用流程」來看：

大量資料進入平台

↓

OpenSearch 建立可查詢資料

↓

Dashboards 建立觀察畫面

↓

分析師從 Overview 找到異常

↓

透過互動篩選縮小範圍

↓

Discover 查看具體紀錄

↓

再進一步進行事件調查

因此，OpenSearch Dashboards 在整個 Malcolm 中扮演的並不是「最後畫圖」而已。

它比較像：

把大量資安資料轉換成「人可以快速理解的視覺資訊」。

這件事該怎麼看？

dashboards.html 最值得注意的地方，其實不是「Malcolm 有很多 Dashboard」。

真正重要的是它建立了三種不同的觀看方式：

第一種：看全局

透過 Dashboard 先掌握整體狀況。

第二種：找資料

透過 Discover 對特定條件進行檢索。

第三種：縮小範圍

利用互動式 Charts、Graphs、Maps、Tables 一步一步把調查範圍縮小。Malcolm

因此它的核心並不是：

「把資料畫漂亮。」

而是：

「讓分析人員從大量資料中，更快形成判斷。」

這也使 Malcolm 的 Dashboard 與一般監控 Dashboard 有一個很重要的差別：

一般 Dashboard 比較偏向「監看」。

Malcolm 的 Dashboard 則更接近：

「觀察 → 篩選 → 聚焦 → 調查」

而且官方已經預先提供 Security、Network、Application、File、Software、GeoIP，以及 ICS / IoT 等不同觀察角度，再讓企業依自己的 SOC 工作方式建立客製化 Dashboard。Malcolm

如果把這一頁濃縮成一句話，就是：

OpenSearch Dashboards 是 Malcolm 把「大量網路資料」轉換成「可理解、可操作、可追查資訊」的主要視覺化入口。