复盘与改进项章节
复盘章节回答三个问题：哪些信号被延迟发现、哪些采集步骤耗时最多、哪些日志当时没有留存。把回答落成可跟踪的改进项，每条写清责任人与复查日期，复盘才不会停留在纸面上。这些改进项直接决定同类事件下一次能否处理得更快。
基本信息
| 问题一 | 检测延迟：首条痕迹出现到告警之间的时间间隔 |
|---|---|
| 问题二 | 采集与处置耗时：哪一步最慢，能否并行 |
| 问题三 | 日志缺口：当时缺少哪些记录，如何补采 |
| 落地要求 | 每条改进项写清负责人与复查日期 |
| 跟踪方式 | 纳入例行检查表，定期核对落实情况 |
典型使用场景
- 事件结束后组织复盘并形成书面记录
- 向上汇报时说明检测与响应环节的薄弱点
- 推动日志留存策略与检测规则的调整
- 为后续演练与培训提供真实素材
- 复查上一轮改进项的实际落实情况
复盘记录示例
复盘记录示例
# 发现延迟与成因
发现延迟：首条痕迹 03:20Z，告警 09:05Z，约 5 小时 45 分
原因：外联规则未覆盖该端口
# 改进项与跟踪
改进：规则库新增条目；网络分区流量基线纳入月度复核
责任人：安全运营组 复查日期：2026-02-15复盘维度
| 维度 | 记录内容 | 改进方向 |
|---|---|---|
| 检测 | 首条痕迹与告警的时间差 | 补充规则、调整阈值 |
| 响应 | 处置各环节的起止时间 | 明确并行条件与升级门槛 |
| 采集 | 缺失的日志与证据类型 | 调整留存策略与采集清单 |
| 协同 | 跨部门沟通的阻塞点 | 明确接口人与答复时限 |
改进项要能验收：写成“加强日志留存”无法跟踪，写成“在核心交换机上开启会话日志并保留 90 天，责任人某某，2 月 15 日前完成”才具备核对条件。
不要在复盘里回避处置过程中的失误：复盘记录应说明只用于流程改进。若被当作追责材料，下一轮就不会有人如实提供时间与细节，改进也就无从谈起。