SIEM 检索策略是什么
在日志聚合平台上的检索分两轮推进：第一轮用 IOC（哈希、域名、IP、文件名）做精确命中，结果准但覆盖面窄；第二轮用行为特征（进程链、异常父进程、罕见命令行、非工作时段）找同类事件，噪声较高但能覆盖变体与无文件行为。两轮互补，只做一轮必然漏。
基本信息
| 用途 | 在聚合平台上高效定位相关证据 |
|---|---|
| 检索顺序 | IOC 精确 → 行为特征 → 时间轮廓 |
| 常用字段 | 哈希、目的域名、进程名与父进程、命令行、账号 |
| 结果留存 | 每轮结果存为视图或导出文件，固定检索口径 |
典型使用场景
- 拿到外部情报 IOC，评估本环境是否已受影响
- IOC 已过期或被封堵，需要用行为特征扩大排查
- 事件初步定性后评估影响范围：还有哪些主机
- 处置后复查：确认同类行为是否已被清除
- 复盘阶段验证已有检测规则的有效性
两轮查询骨架
两轮查询骨架
index=edr (hash="a1b2c3" or dest_domain="evil.example") # 第 1 轮 IOC 精确命中
index=edr process_name=powershell.exe parent=winword.exe # 第 2 轮 行为特征：Office 派生 Shell
index=edr process_name=cmd.exe (command_line="*certutil*" or command_line="*bitsadmin*")
index=windows EventCode=4688 (parent_process="*w3wp.exe*" or user="*svc_*")
# 先限定事件时间窗，跑完一轮后向前扩窗复查前置动作两轮检索对照
| 维度 | 第一轮 IOC | 第二轮 行为 |
|---|---|---|
| 覆盖范围 | 窄，只命中已知指标 | 宽，覆盖变体与无文件行为 |
| 准确率 | 高，误报少 | 较低，需要人工筛选 |
| 前置依赖 | 需要可靠情报来源 | 需要行为基线 |
| 典型用途 | 快速确认是否命中 | 扩大范围、发现同类事件 |
时间窗先按事件窗口开，一轮跑完后向前扩大（例如从 3 小时扩到 7 天）复查前置动作：攻击者的立足与探测往往发生在更早的时间点。
每轮结果先存成视图或导出文件，口径变化时可以复核，报告也能引用具体的结果集，避免评审时说法对不上。
情报会更新，事件跨度较长时应把同一批指标隔一段时间重跑一次，早期查询结果可能因为情报补充而出现新命中。