RBA Case Triage

import%20marimo%0A%0A__generated_with%20%3D%20%220.23.9%22%0Aapp%20%3D%20marimo.App(width%3D%22medium%22%2C%20app_title%3D%22RBA%20Case%20Triage%22)%0A%0A%0A%40app.cell(hide_code%3DTrue)%0Aasync%20def%20_wasm_bootstrap()%3A%0A%20%20%20%20import%20sys%20as%20_sys%0A%20%20%20%20import%20marimo%20as%20mo%0A%0A%20%20%20%20is_wasm%20%3D%20%22pyodide%22%20in%20_sys.modules%0A%0A%20%20%20%20if%20is_wasm%3A%0A%20%20%20%20%20%20%20%20import%20micropip%0A%0A%20%20%20%20%20%20%20%20_base%20%3D%20str(mo.notebook_location()).rstrip(%22%2F%22)%0A%20%20%20%20%20%20%20%20await%20micropip.install(%5B%0A%20%20%20%20%20%20%20%20%20%20%20%20_base%20%2B%20%22%2Fmock_rba-0.1.0-py3-none-any.whl%22%2C%0A%20%20%20%20%20%20%20%20%5D)%0A%20%20%20%20return%20is_wasm%2C%20mo%0A%0A%0A%40app.cell(hide_code%3DTrue)%0Adef%20_imports(is_wasm)%3A%0A%20%20%20%20del%20is_wasm%0A%0A%20%20%20%20import%20mock_rba%0A%20%20%20%20from%20mock_rba%20import%20get_risk_events%2C%20get_saved_searches%2C%20get_drilldown%2C%20get_enrichment%0A%0A%20%20%20%20return%20get_drilldown%2C%20get_enrichment%2C%20get_risk_events%2C%20get_saved_searches%0A%0A%0A%40app.cell(hide_code%3DTrue)%0Adef%20_load_data(get_enrichment%2C%20get_risk_events%2C%20get_saved_searches)%3A%0A%20%20%20%20risk_events%20%3D%20get_risk_events()%0A%20%20%20%20saved_searches%20%3D%20get_saved_searches()%0A%20%20%20%20enrichment%20%3D%20get_enrichment()%0A%0A%20%20%20%20total_risk_score%20%3D%20sum(e%5B%22risk_score%22%5D%20for%20e%20in%20risk_events)%0A%20%20%20%20rule_count%20%3D%20len(risk_events)%0A%20%20%20%20earliest%20%3D%20min(e%5B%22_time%22%5D%20for%20e%20in%20risk_events)%0A%20%20%20%20latest%20%3D%20max(e%5B%22_time%22%5D%20for%20e%20in%20risk_events)%0A%20%20%20%20window_minutes%20%3D%20int((latest%20-%20earliest).total_seconds()%20%2F%2060)%0A%20%20%20%20return%20(%0A%20%20%20%20%20%20%20%20earliest%2C%0A%20%20%20%20%20%20%20%20enrichment%2C%0A%20%20%20%20%20%20%20%20latest%2C%0A%20%20%20%20%20%20%20%20risk_events%2C%0A%20%20%20%20%20%20%20%20rule_count%2C%0A%20%20%20%20%20%20%20%20saved_searches%2C%0A%20%20%20%20%20%20%20%20total_risk_score%2C%0A%20%20%20%20%20%20%20%20window_minutes%2C%0A%20%20%20%20)%0A%0A%0A%40app.cell(hide_code%3DTrue)%0Adef%20_header(%0A%20%20%20%20earliest%2C%0A%20%20%20%20latest%2C%0A%20%20%20%20mo%2C%0A%20%20%20%20rule_count%2C%0A%20%20%20%20total_risk_score%2C%0A%20%20%20%20window_minutes%2C%0A)%3A%0A%20%20%20%20def%20_badge(label%2C%20val)%3A%0A%20%20%20%20%20%20%20%20return%20f%22%22%22%3Cdiv%20style%3D%22display%3Aflex%3Bflex-direction%3Acolumn%3Bgap%3A2px%22%3E%0A%20%20%20%20%20%20%20%20%20%20%3Cspan%20style%3D%22font-size%3A11px%3Bcolor%3Avar(--muted-foreground)%3Bfont-family%3Amonospace%22%3E%7Blabel%7D%3C%2Fspan%3E%0A%20%20%20%20%20%20%20%20%20%20%3Cspan%20style%3D%22font-size%3A12px%3Bfont-family%3Amonospace%3Bcolor%3Avar(--foreground)%3Bbackground%3Avar(--muted)%3Bpadding%3A2px%208px%3Bborder-radius%3A4px%3Bwhite-space%3Anowrap%22%3E%7Bval%7D%3C%2Fspan%3E%0A%20%20%20%20%20%20%20%20%3C%2Fdiv%3E%22%22%22%0A%0A%20%20%20%20_header_html%20%3D%20mo.Html(f%22%22%22%0A%20%20%20%20%3Cdiv%20style%3D%22border%3A1px%20solid%20var(--border)%3Bborder-radius%3A8px%3Bpadding%3A16px%2020px%3Bmargin-bottom%3A8px%22%3E%0A%20%20%20%20%20%20%3Cdiv%20style%3D%22display%3Aflex%3Balign-items%3Acenter%3Bgap%3A8px%3Bmargin-bottom%3A12px%22%3E%0A%20%20%20%20%20%20%20%20%3Cspan%20style%3D%22font-size%3A20px%3Bfont-weight%3A700%3Bfont-family%3Avar(--heading-font%2Csystem-ui)%22%3ERBA%20Case%20Triage%3C%2Fspan%3E%0A%20%20%20%20%20%20%20%20%3Cspan%20style%3D%22font-size%3A12px%3Bfont-family%3Amonospace%3Bpadding%3A2px%208px%3Bborder-radius%3A4px%3Bbackground%3Argba(220%2C38%2C38%2C0.8)%3Bcolor%3Awhite%22%3EScore%3A%20%7Btotal_risk_score%3A.0f%7D%3C%2Fspan%3E%0A%20%20%20%20%20%20%3C%2Fdiv%3E%0A%20%20%20%20%20%20%3Cdiv%20style%3D%22display%3Aflex%3Bflex-wrap%3Awrap%3Bgap%3A16px%3Balign-items%3Aend%22%3E%0A%20%20%20%20%20%20%20%20%7B_badge(%22Risk%20object%22%2C%20%22alex.reed%40example.com%22)%7D%0A%20%20%20%20%20%20%20%20%7B_badge(%22Device%22%2C%20%22MBP-AREED-01%22)%7D%0A%20%20%20%20%20%20%20%20%7B_badge(%22Contributing%20rules%22%2C%20str(rule_count))%7D%0A%20%20%20%20%20%20%20%20%7B_badge(%22Time%20window%22%2C%20f%22%7Bearliest.strftime('%25H%3A%25M')%7D%20-%20%7Blatest.strftime('%25H%3A%25M%20UTC')%7D%20(%7Bwindow_minutes%7D%20min)%22)%7D%0A%20%20%20%20%20%20%20%20%7B_badge(%22XSOAR%20incident%22%2C%20%22%234821%22)%7D%0A%20%20%20%20%20%20%20%20%7B_badge(%22Priority%22%2C%20%22Medium%22)%7D%0A%20%20%20%20%20%20%3C%2Fdiv%3E%0A%20%20%20%20%20%20%3Cp%20style%3D%22margin-top%3A12px%3Bfont-size%3A13px%3Bcolor%3Avar(--foreground)%3Bline-height%3A1.5%22%3E%0A%20%20%20%20%20%20%20%20Risk%20score%20crossed%20threshold%20at%20%7Blatest.strftime('%25H%3A%25M%20UTC')%7D.%20Five%20contributing%0A%20%20%20%20%20%20%20%20detections%20across%20a%20%7Bwindow_minutes%7D-minute%20window%3A%20PIM%20activation%2C%20service%20principal%20creation%2C%0A%20%20%20%20%20%20%20%20client%20credential%20addition%2C%20owner%20grant%2C%20and%20OAuth%20consent%20-%20all%20on%20a%20single%20Azure%20AD%0A%20%20%20%20%20%20%20%20application%20registration%20(TailwireVPN-DEV).%0A%20%20%20%20%20%20%3C%2Fp%3E%0A%20%20%20%20%3C%2Fdiv%3E%0A%20%20%20%20%22%22%22)%0A%20%20%20%20_header_html%0A%20%20%20%20return%0A%0A%0A%40app.cell(hide_code%3DTrue)%0Adef%20_enrichment_panel(enrichment%2C%20mo)%3A%0A%20%20%20%20_user%20%3D%20enrichment%5B%22user%22%5D%0A%20%20%20%20_asset%20%3D%20enrichment%5B%22asset%22%5D%0A%20%20%20%20_xsoar%20%3D%20enrichment%5B%22xsoar%22%5D%0A%0A%20%20%20%20def%20_source_pill(name)%3A%0A%20%20%20%20%20%20%20%20return%20f%22%22%22%3Cspan%20style%3D%22font-size%3A11px%3Bfont-family%3Amonospace%3Bpadding%3A2px%208px%3B%0A%20%20%20%20%20%20%20%20%20%20%20%20border-radius%3A10px%3Bborder%3A1px%20solid%20var(--border)%3Bcolor%3Avar(--foreground)%3B%0A%20%20%20%20%20%20%20%20%20%20%20%20background%3Avar(--muted)%3Bwhite-space%3Anowrap%22%3E%7Bname%7D%3C%2Fspan%3E%22%22%22%0A%0A%20%20%20%20_sources%20%3D%20%5B%0A%20%20%20%20%20%20%20%20_source_pill(%22Splunk%20ES%22)%2C%0A%20%20%20%20%20%20%20%20_source_pill(%22Defender%20XDR%22)%2C%0A%20%20%20%20%20%20%20%20_source_pill(%22Azure%20AD%22)%2C%0A%20%20%20%20%20%20%20%20_source_pill(%22ServiceNow%20CMDB%22)%2C%0A%20%20%20%20%20%20%20%20_source_pill(%22XSOAR%22)%2C%0A%20%20%20%20%5D%0A%0A%20%20%20%20mo.Html(f%22%22%22%0A%20%20%20%20%3Cdiv%20style%3D%22border%3A1px%20solid%20var(--border)%3Bborder-radius%3A6px%3Bpadding%3A12px%2016px%3Bmargin-bottom%3A8px%22%3E%0A%20%20%20%20%20%20%20%20%3Cdiv%20style%3D%22display%3Aflex%3Bflex-wrap%3Awrap%3Bgap%3A8px%3Bmargin-bottom%3A12px%22%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%3Cspan%20style%3D%22font-size%3A11px%3Bcolor%3Avar(--muted-foreground)%3Balign-self%3Acenter%22%3EData%20sources%3A%3C%2Fspan%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%7B%22%20%22.join(_sources)%7D%0A%20%20%20%20%20%20%20%20%3C%2Fdiv%3E%0A%20%20%20%20%20%20%20%20%3Cdiv%20style%3D%22display%3Agrid%3Bgrid-template-columns%3A1fr%201fr%201fr%3Bgap%3A16px%22%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%3Cdiv%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3Cdiv%20style%3D%22font-size%3A12px%3Bfont-weight%3A600%3Bmargin-bottom%3A6px%3Bcolor%3Avar(--foreground)%22%3EUser%3A%20alex.reed%40example.com%3C%2Fdiv%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3Ctable%20style%3D%22font-size%3A11px%3Bfont-family%3Amonospace%3Bborder-collapse%3Acollapse%3Bwidth%3A100%25%22%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3Ctr%3E%3Ctd%20style%3D%22padding%3A2px%208px%3Bcolor%3Avar(--muted-foreground)%22%3ETitle%3C%2Ftd%3E%3Ctd%3E%7B_user%5B'title'%5D%7D%3C%2Ftd%3E%3C%2Ftr%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3Ctr%3E%3Ctd%20style%3D%22padding%3A2px%208px%3Bcolor%3Avar(--muted-foreground)%22%3EDepartment%3C%2Ftd%3E%3Ctd%3E%7B_user%5B'department'%5D%7D%3C%2Ftd%3E%3C%2Ftr%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3Ctr%3E%3Ctd%20style%3D%22padding%3A2px%208px%3Bcolor%3Avar(--muted-foreground)%22%3EManager%3C%2Ftd%3E%3Ctd%3E%7B_user%5B'manager'%5D%7D%3C%2Ftd%3E%3C%2Ftr%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3Ctr%3E%3Ctd%20style%3D%22padding%3A2px%208px%3Bcolor%3Avar(--muted-foreground)%22%3ELast%20login%3C%2Ftd%3E%3Ctd%3E%7B_user%5B'last_login'%5D%7D%3C%2Ftd%3E%3C%2Ftr%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3Ctr%3E%3Ctd%20style%3D%22padding%3A2px%208px%3Bcolor%3Avar(--muted-foreground)%22%3EMFA%3C%2Ftd%3E%3Ctd%3E%7B_user%5B'mfa_status'%5D%7D%3C%2Ftd%3E%3C%2Ftr%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3Ctr%3E%3Ctd%20style%3D%22padding%3A2px%208px%3Bcolor%3Avar(--muted-foreground)%22%3ERisk%20(90d)%3C%2Ftd%3E%3Ctd%3E%7B_user%5B'risk_history_90d'%5D%7D%3C%2Ftd%3E%3C%2Ftr%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3C%2Ftable%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%3C%2Fdiv%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%3Cdiv%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3Cdiv%20style%3D%22font-size%3A12px%3Bfont-weight%3A600%3Bmargin-bottom%3A6px%3Bcolor%3Avar(--foreground)%22%3EAsset%3A%20MBP-AREED-01%3C%2Fdiv%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3Ctable%20style%3D%22font-size%3A11px%3Bfont-family%3Amonospace%3Bborder-collapse%3Acollapse%3Bwidth%3A100%25%22%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3Ctr%3E%3Ctd%20style%3D%22padding%3A2px%208px%3Bcolor%3Avar(--muted-foreground)%22%3EOS%3C%2Ftd%3E%3Ctd%3E%7B_asset%5B'os'%5D%7D%3C%2Ftd%3E%3C%2Ftr%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3Ctr%3E%3Ctd%20style%3D%22padding%3A2px%208px%3Bcolor%3Avar(--muted-foreground)%22%3EOwner%3C%2Ftd%3E%3Ctd%3E%7B_asset%5B'owner'%5D%7D%3C%2Ftd%3E%3C%2Ftr%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3Ctr%3E%3Ctd%20style%3D%22padding%3A2px%208px%3Bcolor%3Avar(--muted-foreground)%22%3EBU%3C%2Ftd%3E%3Ctd%3E%7B_asset%5B'business_unit'%5D%7D%3C%2Ftd%3E%3C%2Ftr%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3Ctr%3E%3Ctd%20style%3D%22padding%3A2px%208px%3Bcolor%3Avar(--muted-foreground)%22%3ECriticality%3C%2Ftd%3E%3Ctd%3E%7B_asset%5B'criticality'%5D%7D%3C%2Ftd%3E%3C%2Ftr%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3Ctr%3E%3Ctd%20style%3D%22padding%3A2px%208px%3Bcolor%3Avar(--muted-foreground)%22%3ELast%20patch%3C%2Ftd%3E%3Ctd%3E%7B_asset%5B'last_patch'%5D%7D%3C%2Ftd%3E%3C%2Ftr%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3Ctr%3E%3Ctd%20style%3D%22padding%3A2px%208px%3Bcolor%3Avar(--muted-foreground)%22%3EOpen%20vulns%3C%2Ftd%3E%3Ctd%3E%7B_asset%5B'open_vulns'%5D%7D%3C%2Ftd%3E%3C%2Ftr%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3C%2Ftable%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%3C%2Fdiv%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%3Cdiv%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3Cdiv%20style%3D%22font-size%3A12px%3Bfont-weight%3A600%3Bmargin-bottom%3A6px%3Bcolor%3Avar(--foreground)%22%3EXSOAR%20context%3C%2Fdiv%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3Ctable%20style%3D%22font-size%3A11px%3Bfont-family%3Amonospace%3Bborder-collapse%3Acollapse%3Bwidth%3A100%25%22%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3Ctr%3E%3Ctd%20style%3D%22padding%3A2px%208px%3Bcolor%3Avar(--muted-foreground)%22%3EIncident%3C%2Ftd%3E%3Ctd%20style%3D%22text-decoration%3Aunderline%3Bcursor%3Apointer%22%3E%7B_xsoar%5B'incident_id'%5D%7D%3C%2Ftd%3E%3C%2Ftr%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3Ctr%3E%3Ctd%20style%3D%22padding%3A2px%208px%3Bcolor%3Avar(--muted-foreground)%22%3EPlaybook%3C%2Ftd%3E%3Ctd%3E%7B_xsoar%5B'playbook'%5D%7D%3C%2Ftd%3E%3C%2Ftr%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3Ctr%3E%3Ctd%20style%3D%22padding%3A2px%208px%3Bcolor%3Avar(--muted-foreground)%22%3EStatus%3C%2Ftd%3E%3Ctd%3E%7B_xsoar%5B'status'%5D%7D%3C%2Ftd%3E%3C%2Ftr%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3Ctr%3E%3Ctd%20style%3D%22padding%3A2px%208px%3Bcolor%3Avar(--muted-foreground)%22%3EAnalyst%3C%2Ftd%3E%3Ctd%3E%7B_xsoar%5B'assigned_analyst'%5D%7D%3C%2Ftd%3E%3C%2Ftr%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3Ctr%3E%3Ctd%20style%3D%22padding%3A2px%208px%3Bcolor%3Avar(--muted-foreground)%22%3ERelated%3C%2Ftd%3E%3Ctd%20style%3D%22text-decoration%3Aunderline%3Bcursor%3Apointer%22%3E%7B_xsoar%5B'related_incidents'%5D%7D%3C%2Ftd%3E%3C%2Ftr%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3Ctr%3E%3Ctd%20style%3D%22padding%3A2px%208px%3Bcolor%3Avar(--muted-foreground)%22%3EHosts%3C%2Ftd%3E%3Ctd%3E%7B_xsoar%5B'related_hosts'%5D%7D%3C%2Ftd%3E%3C%2Ftr%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3C%2Ftable%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%3C%2Fdiv%3E%0A%20%20%20%20%20%20%20%20%3C%2Fdiv%3E%0A%20%20%20%20%20%20%20%20%3Cdetails%20style%3D%22margin-top%3A10px%22%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%3Csummary%20style%3D%22cursor%3Apointer%3Bfont-size%3A12px%3Bcolor%3Avar(--muted-foreground)%3Bpadding%3A2px%200%22%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20Recent%20history%0A%20%20%20%20%20%20%20%20%20%20%20%20%3C%2Fsummary%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%3Cdiv%20style%3D%22font-size%3A11px%3Bfont-family%3Amonospace%3Bcolor%3Avar(--muted-foreground)%3Bline-height%3A1.8%3Bmargin-top%3A6px%22%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%7B%22%3Cbr%3E%22.join(f%22%3Cspan%20style%3D'color%3Avar(--foreground)'%3E%7Bh%5B'date'%5D%7D%3C%2Fspan%3E%20%7Bh%5B'event'%5D%7D%22%20for%20h%20in%20enrichment%5B'history'%5D)%7D%0A%20%20%20%20%20%20%20%20%20%20%20%20%3C%2Fdiv%3E%0A%20%20%20%20%20%20%20%20%3C%2Fdetails%3E%0A%20%20%20%20%3C%2Fdiv%3E%0A%20%20%20%20%22%22%22)%0A%20%20%20%20return%0A%0A%0A%40app.cell(hide_code%3DTrue)%0Adef%20_formatting_helpers()%3A%0A%20%20%20%20def%20style_cell(row_id%2C%20column_name%2C%20value)%3A%0A%20%20%20%20%20%20%20%20if%20column_name%20%3D%3D%20%22Score%22%20and%20value%20is%20not%20None%3A%0A%20%20%20%20%20%20%20%20%20%20%20%20try%3A%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20score%20%3D%20int(value)%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20if%20score%20%3E%2010%3A%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20intensity%20%3D%20min((score%20-%2010)%20%2F%2050%2C%201)%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20return%20%7B%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%22backgroundColor%22%3A%20f%22rgba(220%2C%2038%2C%2038%2C%20%7B0.15%20%2B%20intensity%20*%200.55%7D)%22%2C%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%22color%22%3A%20%22white%22%20if%20intensity%20%3E%200.6%20else%20%22inherit%22%2C%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%7D%0A%20%20%20%20%20%20%20%20%20%20%20%20except%20(ValueError%2C%20TypeError)%3A%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20pass%0A%20%20%20%20%20%20%20%20return%20%7B%7D%0A%0A%20%20%20%20def%20hover(row_id%2C%20col%2C%20value)%3A%0A%20%20%20%20%20%20%20%20if%20col%20%3D%3D%20%22Message%22%3A%0A%20%20%20%20%20%20%20%20%20%20%20%20return%20str(value)%0A%20%20%20%20%20%20%20%20return%20None%0A%0A%20%20%20%20def%20format_spl(query)%3A%0A%20%20%20%20%20%20%20%20if%20not%20query%3A%0A%20%20%20%20%20%20%20%20%20%20%20%20return%20%22No%20query%20available%22%0A%20%20%20%20%20%20%20%20return%20%22%5Cn%7C%20%22.join(part.strip()%20for%20part%20in%20query.split(%22%7C%22)%20if%20part.strip())%0A%0A%20%20%20%20return%20format_spl%2C%20hover%2C%20style_cell%0A%0A%0A%40app.cell(hide_code%3DTrue)%0Adef%20_timeline_heading(mo)%3A%0A%20%20%20%20mo.md(%22%22%22%0A%20%20%20%20%23%23%20Risk%20timeline%0A%20%20%20%20Select%20a%20rule%20to%20view%20the%20detection%20query%20and%20underlying%20events.%0A%20%20%20%20%22%22%22)%0A%20%20%20%20return%0A%0A%0A%40app.cell%0Adef%20_risk_table(hover%2C%20mo%2C%20risk_events%2C%20style_cell)%3A%0A%20%20%20%20_rows%20%3D%20%5B%0A%20%20%20%20%20%20%20%20%7B%0A%20%20%20%20%20%20%20%20%20%20%20%20%22Time%22%3A%20e%5B%22_time%22%5D.strftime(%22%25H%3A%25M%3A%25S%22)%2C%0A%20%20%20%20%20%20%20%20%20%20%20%20%22Rule%22%3A%20e%5B%22source%22%5D%2C%0A%20%20%20%20%20%20%20%20%20%20%20%20%22Score%22%3A%20int(e%5B%22risk_score%22%5D)%2C%0A%20%20%20%20%20%20%20%20%20%20%20%20%22Count%22%3A%20e%5B%22count%22%5D%2C%0A%20%20%20%20%20%20%20%20%20%20%20%20%22Message%22%3A%20e%5B%22risk_message%22%5D%2C%0A%20%20%20%20%20%20%20%20%7D%0A%20%20%20%20%20%20%20%20for%20e%20in%20risk_events%0A%20%20%20%20%5D%0A%0A%20%20%20%20risk_table%20%3D%20mo.ui.table(%0A%20%20%20%20%20%20%20%20_rows%2C%0A%20%20%20%20%20%20%20%20selection%3D%22single%22%2C%0A%20%20%20%20%20%20%20%20initial_selection%3D%5B0%5D%2C%0A%20%20%20%20%20%20%20%20page_size%3D10%2C%0A%20%20%20%20%20%20%20%20label%3D%22Contributing%20risk%20rules%22%2C%0A%20%20%20%20%20%20%20%20hover_template%3Dhover%2C%0A%20%20%20%20%20%20%20%20style_cell%3Dstyle_cell%2C%0A%20%20%20%20%20%20%20%20text_justify_columns%3D%7B%22Score%22%3A%20%22right%22%2C%20%22Count%22%3A%20%22right%22%7D%2C%0A%20%20%20%20)%0A%20%20%20%20return%20(risk_table%2C)%0A%0A%0A%40app.cell(hide_code%3DTrue)%0Adef%20_extract_rule(risk_events%2C%20risk_table)%3A%0A%20%20%20%20_selected_rows%20%3D%20risk_table.value%0A%20%20%20%20selected_rule%20%3D%20None%0A%0A%20%20%20%20if%20_selected_rows%3A%0A%20%20%20%20%20%20%20%20_display%20%3D%20_selected_rows%5B0%5D%0A%20%20%20%20%20%20%20%20_rule_name%20%3D%20_display%5B%22Rule%22%5D%0A%20%20%20%20%20%20%20%20for%20e%20in%20risk_events%3A%0A%20%20%20%20%20%20%20%20%20%20%20%20if%20e%5B%22source%22%5D%20%3D%3D%20_rule_name%3A%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20selected_rule%20%3D%20e%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20break%0A%20%20%20%20return%20(selected_rule%2C)%0A%0A%0A%40app.cell%0Adef%20_table_and_spl(format_spl%2C%20mo%2C%20risk_table%2C%20saved_searches%2C%20selected_rule)%3A%0A%20%20%20%20if%20selected_rule%3A%0A%20%20%20%20%20%20%20%20_rule_name%20%3D%20selected_rule%5B%22source%22%5D%0A%20%20%20%20%20%20%20%20_spl%20%3D%20saved_searches.get(_rule_name%2C%20%22%23%20No%20SPL%20available%22)%0A%20%20%20%20%20%20%20%20_formatted%20%3D%20format_spl(_spl)%0A%0A%20%20%20%20%20%20%20%20_spl_panel%20%3D%20mo.Html(f%22%22%22%0A%20%20%20%20%20%20%20%20%3Cdiv%20style%3D%22background%3Alight-dark(%23f5f5f5%2C%20%231e1e1e)%3Bborder%3A1px%20solid%20var(--border)%3Bborder-radius%3A6px%3Bpadding%3A12px%2016px%3Bmin-height%3A200px%22%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%3Cdiv%20style%3D%22display%3Aflex%3Balign-items%3Acenter%3Bgap%3A8px%3Bmargin-bottom%3A8px%22%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3Cspan%20style%3D%22font-size%3A13px%3Bfont-weight%3A600%3Bcolor%3Avar(--foreground)%22%3E%7B_rule_name%7D%3C%2Fspan%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3Cspan%20style%3D%22font-size%3A11px%3Bfont-family%3Amonospace%3Bpadding%3A2px%206px%3Bborder-radius%3A4px%3Bbackground%3Argba(220%2C38%2C38%2C0.7)%3Bcolor%3Awhite%22%3E%7Bselected_rule%5B%22risk_score%22%5D%3A.0f%7D%3C%2Fspan%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%3C%2Fdiv%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20%3Cpre%20style%3D%22margin%3A0%3Bwhite-space%3Apre-wrap%3Bword-wrap%3Abreak-word%3Bcolor%3Alight-dark(%23333%2C%23e0e0e0)%3Bfont-size%3A11px%3Bline-height%3A1.5%3Bfont-family%3Amonospace%22%3E%7B_formatted%7D%3C%2Fpre%3E%0A%20%20%20%20%20%20%20%20%3C%2Fdiv%3E%0A%20%20%20%20%20%20%20%20%22%22%22)%0A%20%20%20%20else%3A%0A%20%20%20%20%20%20%20%20_spl_panel%20%3D%20mo.Html(%22%22%22%0A%20%20%20%20%20%20%20%20%3Cdiv%20style%3D%22display%3Aflex%3Balign-items%3Acenter%3Bjustify-content%3Acenter%3Bmin-height%3A200px%3B%0A%20%20%20%20%20%20%20%20%20%20%20%20border%3A1px%20dashed%20var(--border)%3Bborder-radius%3A6px%3Bcolor%3Avar(--muted-foreground)%3B%0A%20%20%20%20%20%20%20%20%20%20%20%20font-style%3Aitalic%3Bfont-size%3A13px%22%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20Select%20a%20rule%20to%20view%20the%20detection%20SPL%0A%20%20%20%20%20%20%20%20%3C%2Fdiv%3E%0A%20%20%20%20%20%20%20%20%22%22%22)%0A%0A%20%20%20%20mo.hstack(%5Brisk_table%2C%20_spl_panel%5D%2C%20widths%3D%5B3%2C%202%5D%2C%20align%3D%22start%22)%0A%20%20%20%20return%0A%0A%0A%40app.cell(hide_code%3DTrue)%0Adef%20_drilldown_heading(mo)%3A%0A%20%20%20%20mo.md(%22%22%22%0A%20%20%20%20%23%23%20Drilldown%20events%0A%20%20%20%20%22%22%22)%0A%20%20%20%20return%0A%0A%0A%40app.cell%0Adef%20_drilldown_events(get_drilldown%2C%20mo%2C%20selected_rule)%3A%0A%20%20%20%20mo.stop(selected_rule%20is%20None%2C%20mo.callout(%0A%20%20%20%20%20%20%20%20mo.md(%22Select%20a%20rule%20from%20the%20timeline%20to%20see%20the%20underlying%20events.%22)%2C%0A%20%20%20%20%20%20%20%20kind%3D%22neutral%22%2C%0A%20%20%20%20))%0A%0A%20%20%20%20_rule_name%20%3D%20selected_rule%5B%22source%22%5D%0A%20%20%20%20_rows%20%3D%20get_drilldown(_rule_name)%0A%0A%20%20%20%20if%20not%20_rows%3A%0A%20%20%20%20%20%20%20%20_output%20%3D%20mo.callout(mo.md(%22No%20drilldown%20events%20available%20for%20this%20rule.%22)%2C%20kind%3D%22neutral%22)%0A%20%20%20%20else%3A%0A%20%20%20%20%20%20%20%20_formatted_rows%20%3D%20%5B%5D%0A%20%20%20%20%20%20%20%20for%20row%20in%20_rows%3A%0A%20%20%20%20%20%20%20%20%20%20%20%20_r%20%3D%20%7B%7D%0A%20%20%20%20%20%20%20%20%20%20%20%20for%20k%2C%20v%20in%20row.items()%3A%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20if%20hasattr(v%2C%20%22strftime%22)%3A%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20_r%5Bk%5D%20%3D%20v.strftime(%22%25H%3A%25M%3A%25S%22)%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20elif%20isinstance(v%2C%20str)%20and%20len(v)%20%3E%2070%3A%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20_r%5Bk%5D%20%3D%20v%5B%3A67%5D%20%2B%20%22...%22%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20else%3A%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20_r%5Bk%5D%20%3D%20v%0A%20%20%20%20%20%20%20%20%20%20%20%20_formatted_rows.append(_r)%0A%0A%20%20%20%20%20%20%20%20def%20_drilldown_hover(row_id%2C%20col%2C%20value)%3A%0A%20%20%20%20%20%20%20%20%20%20%20%20if%20col%20in%20(%22CommandLine%22%2C%20%22ScriptBlockText%22%2C%20%22NewProcessName%22)%3A%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20full_rows%20%3D%20get_drilldown(selected_rule%5B%22source%22%5D)%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20idx%20%3D%20int(row_id)%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20if%20idx%20%3C%20len(full_rows)%20and%20col%20in%20full_rows%5Bidx%5D%3A%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20return%20str(full_rows%5Bidx%5D%5Bcol%5D)%0A%20%20%20%20%20%20%20%20%20%20%20%20return%20None%0A%0A%20%20%20%20%20%20%20%20_output%20%3D%20mo.ui.table(%0A%20%20%20%20%20%20%20%20%20%20%20%20_formatted_rows%2C%0A%20%20%20%20%20%20%20%20%20%20%20%20selection%3DNone%2C%0A%20%20%20%20%20%20%20%20%20%20%20%20page_size%3D10%2C%0A%20%20%20%20%20%20%20%20%20%20%20%20label%3Df%22Raw%20events%3A%20%7B_rule_name%7D%20(%7Blen(_rows)%7D%20events)%22%2C%0A%20%20%20%20%20%20%20%20%20%20%20%20hover_template%3D_drilldown_hover%2C%0A%20%20%20%20%20%20%20%20)%0A%0A%20%20%20%20mo.output.replace(_output)%0A%20%20%20%20return%0A%0A%0Aif%20__name__%20%3D%3D%20%22__main__%22%3A%0A%20%20%20%20app.run()%0A