溯源思路与流程68 条

告警接入与初筛

从告警到事件的转化要有固定动作：核对告警字段、快速验证真伪、记录初判理由，再决定是否升级为事件。

动作 1	读原日志行，确认告警字段未被截断
动作 2/3	环境核对（资产、账号、业务）→ 初判与升级

初筛记录

alert_id: 2026-0102-001
rule: 外联可疑域名
source_log: dns.log line 12845
triage: 主机为财务工作站，账号未获批访问该域名
verdict: 疑似真实事件 → 升级

初筛结论不管是否升级都落记录，避免重复盯同一条误报。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌