事件定级与升级依据
定级不能凭感觉，通常围绕两个维度展开：影响面与确定性。具体落到涉及主机与账号的数量、是否出现数据外传迹象、检测证据的强度。把这几点写成成文标准，值班人员才能给出一致等级，处置资源与升级节奏也才有分配依据，事后复盘时也有对照物。
基本信息
| 维度一 | 影响面：单主机单账号，还是多主机或核心系统 |
|---|---|
| 维度二 | 证据强度：单一待验证线索，还是多来源相互印证 |
| 维度三 | 数据因素：有无外传迹象、是否涉及敏感数据 |
| 记录要求 | 每条定级依据都要附证据引用，不用结论式形容词 |
| 复核节奏 | 高等级事件缩短复核间隔，级别变化要留变更记录 |
典型使用场景
- 告警升级为事件时给出统一等级，便于调度处理资源
- 事件范围扩大时按标准调级，同时留存调整理由
- 资源有限时按等级排序，先处理影响面大的部分
- 复盘时对照定级标准，检查当时的判断是否合理
- 对外通报前统一口径，避免不同渠道说法不一致
定级记录
定级记录
level: P2
basis: 3 台主机出现相同外联域名；有上传流量，但未见数据打包迹象
evidence: E01 边界日志、E02 主机防火墙日志
approver: 值班负责人
recheck: 每 2 小时复核一次，出现新主机即升级定级维度
| 维度 | 较低 | 较高 |
|---|---|---|
| 影响面 | 单主机单账号 | 多主机或核心业务系统 |
| 证据强度 | 单一线索待验证 | 多来源相互印证 |
| 数据因素 | 无外传迹象 | 存在外传或异常大流量 |
| 持续时间 | 短时单次行为 | 持续性活动或反复出现 |
等级不是一次定终身：随着证据增加或范围变化调整等级属于正常流程，但调整的理由与时间点要写进事件记录，否则复盘时无法还原当时的判断过程。
级别只升不降的惯性需要纠正：若证据被推翻或线索另有解释，及时降级才能把资源放回真正需要的位置；同时避免用“严重”这类结论式词代替具体的维度描述。