告警接入与初筛
从告警到事件需要一套固定动作：先读原始日志行，确认告警字段没有被截断；再核对资产与账号归属，判断环境上下文；最后给出初判理由并决定是否升级。固定动作的价值在于可重复——同一条告警换任何人处理，过程与结论都能对得上，误报也不会被反复重复分析。
基本信息
| 动作一 | 读原始日志行，确认字段与环境上下文完整 |
|---|---|
| 动作二 | 环境核对：资产归属、账号合法性、业务时段 |
| 动作三 | 给出初判与升级决定，并写明判断理由 |
| 记录要求 | 初筛结论无论是否升级都要落记录 |
| 升级路径 | 明确由谁批准升级、升级后需要通知谁 |
典型使用场景
- 值班期间处理告警并判断是否需要升级为事件
- 复盘误报，避免同类告警被重复深入分析
- 统计初筛结果分布，评估检测规则的质量
- 交接班时传递未决告警的处理状态
- 为规则优化提供真实误报样本
初筛记录
初筛记录
# 字段保持固定，便于批量统计与交接
alert_id: 2026-0102-001
rule: 外联可疑域名
source_log: dns.log line 12845
triage: 主机为财务工作站，该账号未获批访问该域名
verdict: 疑似真实事件，升级处理初筛动作
| 步骤 | 要点 | 常见失误 |
|---|---|---|
| 读原日志 | 确认字段完整、没有被截断 | 只看告警摘要就定性 |
| 环境核对 | 资产归属、账号权限、业务时段 | 不了解业务直接判定为恶意 |
| 初判记录 | 写明理由与依据来源 | 只写结论不写依据 |
| 升级决定 | 按标准判断是否需要升级 | 凭感觉升级或一律不升级 |
初筛记录要落成文件而不是只留在聊天记录里：字段固定、便于统计，交接班与规则优化都能直接使用这份数据，也能避免同一条告警被重复深入排查。
资产归属不清时先找业务方确认再定性，否则容易把正常业务流量判成攻击，或者把真实事件当成噪声放过；两种情况都会消耗信任，也会影响后续响应的执行力。