[Документация Yandex Cloud](../../index.md) > [Yandex SIEM](../index.md) > [Концепции](index.md) > Расследования

# Расследования

{% note info %}

Функциональность находится на стадии [Preview](../../overview/concepts/launch-stages.md). Чтобы получить доступ, обратитесь в [техническую поддержку](https://kz.center.yandex.cloud/support) или к вашему аккаунт-менеджеру.

{% endnote %}

_Расследование_ — это основная сущность для анализа событий безопасности в Yandex SIEM. Расследование объединяет один или несколько запросов, которые позволяют искать и анализировать события за последние 90 дней.

{% note info %}

Максимальное количество строк в результатах расследования — 1 000 000.

{% endnote %}

## Связь с инстансом Yandex SIEM {#instance-binding}

Расследования привязаны к [инстансу](index.md) Yandex SIEM. Каждый инстанс содержит собственный набор расследований, шаблонов и датасетов. Расследования могут быть доступны:

* отдельному пользователю;
* группе пользователей;
* всем пользователям инстанса.

## Метаданные расследования {#metadata}

Каждое расследование содержит метаданные:

* **Название** — краткое описание цели расследования.
* **Описание** — подробная информация о расследовании.
* **Дата создания** — время создания расследования.
* **Дата изменения** — время последнего изменения.
* **Теги** — ключевые слова для группировки и поиска расследований.

Теги позволяют организовать расследования по категориям: типу угрозы, источнику событий, этапу расследования или любым другим критериям.

## Совместная работа {#collaboration}

Несколько аналитиков могут работать над одним расследованием одновременно. Изменения сохраняются автоматически и синхронизируются между пользователями. Доступны следующие действия:

* создание копии расследования для независимой работы;
* переименование расследования;
* изменение описания и тегов;
* удаление расследования.

Доступ к расследованиям определяется ролями. Подробнее в разделе [Управление доступом в Yandex SIEM](../security/index.md).

## Шаблоны запросов {#query-templates}

_Шаблон запроса_ — это сохраненный KQL-запрос, который можно использовать повторно. Шаблоны помогают стандартизировать анализ и ускорить работу аналитиков.

Вы можете выбрать, какие шаблоны запроса загрузить:

#|
|| Тип | Описание ||
|| **Мои** | Шаблоны, созданные пользователем и доступные ему в разных расследованиях ||
|| **Инстанс** | Доступны всем пользователям, но привязаны к определенному расследованию ||
|| **Общие** | Доступны всем пользователям во всех расследованиях ||
|#

Шаблоны можно группировать в папки для удобной навигации. Папки создаются и называются пользователем. Они позволяют организовать шаблоны по типу угрозы, источнику событий или этапу расследования. Например, **Частые запросы** — это папка для хранения наиболее используемых шаблонов.

Шаблон можно вставить в текущий запрос, использовать для создания нового запроса или сохранить из существующего запроса.

## Датасеты и схема базы {#datasets-schema}

Данные для запросов формируются из датасетов и схемы базы данных.

### Датасеты {#datasets}

_Датасет_ — это набор данных, содержащий события определенного типа. Каждый датасет включает:

* название;
* описание;
* список полей с типами данных.

Поля в датасетах могут иметь следующие типы:

* **Строка** — текстовые данные;
* **Число** — числовые значения;
* **Массив** — список значений;
* **Объект** — вложенная структура данных;
* **JSON** — данные в формате JSON.

### Lookup-таблицы {#lookup-tables}

_Lookup-таблицы_ — это справочные таблицы для обогащения данных. Они позволяют добавлять дополнительную информацию к событиям, например:

* названия сервисов по идентификаторам;
* географические данные по IP-адресам;
* информацию о пользователях.

### Схема базы данных {#database-schema}

Схема базы данных содержит иерархическую структуру всех доступных полей. Для работы со схемой доступны:

* поиск по полям;
* просмотр типов данных;
* вставка полей в запрос.

Поля из датасетов и схемы базы можно вставить в запрос, выбрав нужное поле и нажав Вставить в запрос.

#### Полезные ссылки {#see-also}

* [Запросы](queries.md).
* [Работа с расследованиями](../operations/investigations/index.md).
* [Работа с запросами](../operations/queries/index.md).
* [Управление доступом в Yandex SIEM](../security/index.md).