用途：为 SOC 管理者与分析师提供结构化的安全运营指标分析，衡量检测与响应有效性、识别趋势并优化资源分配。适用于周期性 SOC 绩效评审（周/月/季）、管理报告与容量规划。
主要能力：按时间周期统计事件量，并按类别、优先级等维度分组；计算平均检测时间（MTTD，基于可观测对象 first_seen 与事件 opened_at）与平均响应时间（MTTR，基于 opened_at 至 resolved_at）；测算误报率；分析分析师与分配组的工作负载分布；追踪事件类别趋势（如对比本月与上月）；衡量任务完成效率；汇总生成指标报告。
使用方式：先通过 SN-Query-Table 工具或 ServiceNow Table API、Aggregate API 查询 sn_si_incident、sn_si_task 等表；复杂计算可用 SN-Execute-Background-Script 运行服务端脚本；结果可写入工作笔记。例如聚合统计：GET /api/now/stats/sn_si_incident?sysparm_query=...&sysparm_count=true&sysparm_group_by=category。
前置条件：角色 sn_si.manager、sn_si.admin、report_admin；对 sn_si_incident、sn_si_task、sn_ti_observable、sys_audit 表的读权限及 Aggregate API 访问权；插件 Security Incident Response（sn_si），Performance Analytics 可选；建议至少 30 天事件历史以做趋势分析。
限制与注意事项：MTTD 可能返回零或负值，需确认可观测对象 first_seen 是否填充及其与 opened_at 的先后关系，必要时以 opened_at 作为检测时间；聚合查询需先在 ServiceNow UI 验证并注意时区；已解决事件可能清空 assigned_to，可借助 sys_audit 查找关闭前最后分配人；与 Performance Analytics 数值不一致时需对齐过滤条件与采集计划；计算均值建议排除离群值。具体目标值与基准线需自行设定，资料未提供默认阈值。