安全态势
值班首屏。四张卡、告警时间线、两个 Top 10、最近告警队列。数据来自告警索引的一条聚合搜索。
安全态势是安全运营组的第一页，页签中另有实时告警和运营报告。所有版本可用。
数据源
告警索引默认为 notable（Enterprise Security），可在配置或实时告警页顶部改为任意索引。没有 ES 时的字段映射：
| 字段 | 取自 |
|---|---|
rule_name | rule_name、search_name、sourcetype |
| 严重度 | urgency，缺省 medium |
| 主体 | dest、src、user、host |
索引不存在时页面显示空态，不报错。
一条 SPL 完成全部聚合（bin | stats count by _time severity rule_name subject_value），Python 折叠并补零桶。时间窗 24h、7d、30d 分别对应 5 分钟、1 小时、1 天的桶。
页面
| 区块 | 内容 |
|---|---|
| 四张卡 | 时间窗内告警总数、Critical 与 High 数、待处置数（分诊与处置状态中未关闭的）、平台异常数（平台健康体检的 fail 与 warn） |
| 时间线 | 按严重度堆叠的告警数折线 |
| 严重度分布 | 各级占比 |
| Top 10 规则 | 触发最多的规则 |
| Top 10 主体 | 出现最多的主机与用户 |
| 最近告警 | 最新 20 条，选中一行进入实时告警的详情 |
演示数据的 sourcetype 超过 24 小时没有新事件时，24h 窗口为 0，切换到 7d 或 30d。