定级维度
| 维度 | 较低 | 较高 |
|---|---|---|
| 影响面 | 单主机单账号 | 多主机或核心系统 |
| 证据强度 | 单一线索待验证 | 多来源相互印证 |
| 数据因素 | 无外传迹象 | 存在外传或大流量异常 |
定级记录
定级记录
level: P2
basis: 3 台主机相同外联域名；有上传流量但未见数据打包迹象
approver: 值班负责人
recheck: 每 2 小时复核一次级别变化要留变更记录，处置资源按级别分配。
事件定级与升级的判断依据
定级依据影响面与确定性两个维度：波及主机数与账号数、是否数据外泄迹象、检测证据的强度，都需要成文标准减少拍脑袋。
易错点
- 级别只升不降的惯性要纠正
- 定级依据要附证据引用
数据来源与参考
- NIST SP 800-61（事件分级）