| 用途 | 在聚合平台上高效找证据 |
|---|---|
| 顺序 | IOC 精确 → 行为特征 → 时间轮廓 |
查询骨架
查询骨架
index=edr (hash="..." or dest_domain="...") # 第一轮
index=edr process_name=powershell.exe parent=winword.exe # 第二轮每轮结果先存视图，避免后续口径漂移时无法复核。
SIEM 检索策略：先精后粗
SIEM 查询先做 IOC 精确命中（哈希、域名、IP），再做行为特征（进程链、异常父进程），两轮互补降低遗漏。
易错点
- 只搜 IOC 会漏无文件行为，只搜行为噪声又高，二者配合
- 搜索时间窗过窄会漏前置动作，记得向前扩量
数据来源与参考
- SIEM 检索通用实践（Splunk/Elastic 查询范式）