告警分级与 SOC 工作流
确定告警优先级、减少误报，并遵循 SOC 分析师的告警分级工作流。
告警分级与 SOC 工作流 是 CoddyKit 上的免费 Cyber Security Academy 课时。 这是第 4 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Cyber Security Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Cyber Security Academy 课程共包含 4 节课。
SOC 分析人员的职责
SOC 分析人员是安全告警的首批响应人员。他们的工作是快速判断告警是否代表真实威胁、收集证据、升级真实事件，并关闭误报；在大规模运营环境中，他们通常每个班次要处理几十条告警。
告警严重性等级
告警会按严重性分类：P1（严重——正在发生的入侵）、P2（高——很可能是攻击）、P3（中——可疑活动）、P4（低/信息——违反策略或配置错误）。
# Severity SLAs:
# P1 Critical: Respond within 15 minutes
# P2 High: Respond within 1 hour
# P3 Medium: Respond within 4 hours
# P4 Low: Respond within 24 hours
# SLAs drive staffing and escalation policy分类研判流程
每条告警都应执行以下研判步骤：1）阅读告警——是什么触发了它？2）查看原始日志——是否存在真实证据？3）评估上下文——谁、什么、哪里？4）判断是真阳性、误报，还是良性阳性。
真阳性与误报
真阳性（TP）：告警已触发，并且该活动确实具有恶意性。误报（FP）：告警已触发，但该活动是合法的。良性阳性：告警因真实的异常活动而触发，但该活动并不具有恶意性（例如渗透测试、管理员活动）。
上下文调查
进行研判时，请收集上下文：是什么用户？什么主机？用户的职责是什么？这是用户的正常行为吗？之前和之后发生了什么？请结合使用 SIEM、EDR、威胁情报，以及 HR/IT 上下文。
# Questions to answer during triage:
# WHO: User identity, role, department
# WHAT: Process, command, file, network
# WHEN: Time, duration, business hours?
# WHERE: Source IP, geolocation, host
# WHY: Is there a business reason?
# HOW: Attack technique, lateral movement?使用处置手册
处置手册是针对常见告警类型编写的分步流程文档。它们可以确保研判过程一致且可重复，并减少分析人员的决策疲劳。每种告警类型都应有相应的处置手册。
# Example playbook: Brute Force Alert
# 1. Check alert: source IP, target accounts
# 2. Query: successful logon after failures?
# 3. If yes: escalate to P1, isolate host
# 4. If no: check IP reputation
# 5. Malicious IP: block + document
# 6. Legitimate IP: tune rule, close FP升级工作流
当告警被确认为真阳性时：请将其升级给 IR 团队（P1/P2），记录调查结果（时间线、受影响资产、攻击途径），在修复前保存证据，并按照升级矩阵通知相关人员。
工单与文档记录
每条告警都必须记录在工单系统（Jira、ServiceNow、TheHive）中，包括告警来源、初始研判结果、处置结论（TP/FP）、采取的操作以及关闭原因。这样可以建立审计跟踪，并支持指标统计。
SOC 指标
主要指标包括：平均检测时间（MTTD）、平均响应时间（MTTR）、按严重性统计的告警量、每条规则的误报率，以及每个班次由分析人员关闭的工单数。请使用这些指标识别规则质量问题和人员配置缺口。
班次交接
班次交接至关重要：请记录未关闭的事件、正在进行的调查以及最近调优的规则。接班分析人员应能够准确从上一班次停止的位置继续工作，不能留下覆盖缺口。
避免告警疲劳
高误报率会使分析人员精疲力竭，并导致真实告警被忽略。请定期检查并停用表现不佳的规则。任何规则的误报率达到 90% 以上，都意味着需要立即调优或停用该规则。
快速检查
SOC 研判中的“良性阳性”是什么？
总结：SOC 工作流
有效的 SOC 运营依赖一致的研判、成文的处置手册、清晰的升级路径和严格的指标管理。每条告警都必须记录处置结论。请持续减少误报，使分析人员能够专注于真实威胁。MTTD 和 MTTR 是核心指标——它们衡量您检测和响应真实事件的速度。
常见问题解答
「告警分级与 SOC 工作流」课时是免费的吗？
是的 — 「告警分级与 SOC 工作流」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Cyber Security Academy 课程的其余内容，请升级到 CoddyKit PRO。 Cyber Security Academy 课程共包含 4 节课。
「告警分级与 SOC 工作流」这节课中我会学到什么？
确定告警优先级、减少误报，并遵循 SOC 分析师的告警分级工作流。 你通过在浏览器中直接运行的动手代码来练习 Cyber Security Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Cyber Security Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Cyber Security Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 4 节课，共 4 节。
「告警分级与 SOC 工作流」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Cyber Security Academy 课中编写并运行代码吗？
能。每节 Cyber Security Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。
此课程中的所有课时
- 日志来源：操作系统、网络与应用日志
- SIEM 架构与日志采集
- 编写检测规则与关联分析
- 告警分级与 SOC 工作流