| 问题 1 | 检测延迟：从首条痕迹到告警的间隔 |
|---|---|
| 问题 2/3 | 采集耗时、日志缺口与补采方案 |
复盘表
复盘表
发现延迟：首条痕迹 03:20Z → 告警 09:05Z（约 5h45m）
原因：外联规则未覆盖该端口
改进：规则库新增条目；网络分区流量基线纳入月度复核改进项写清负责人与复查日期，否则复盘会停留在纸面。
复盘与改进项章节
复盘章节回答三个问题：哪些信号延迟被发现、哪些采集步骤耗时、哪些日志当时没留存，落成可跟踪的改进项。
易错点
- 复盘要基于时间线数字而不是印象
- 改进项与本次事件的证据分开管理
数据来源与参考
- NIST SP 800-61（事后活动）