降噪的目标
告警降噪不是把告警变少，而是让留下来的每一条都值得看：通过阈值优化、同类聚合、关联抑制与例外白名单，把海量重复告警压缩成可处置的事件，同时保证被抑制的内容仍可检索。
基本信息
| 手段 | 阈值优化、同类聚合、关联抑制、例外白名单 |
|---|---|
| 目标 | 降低无效告警比例，提高响应速度 |
| 度量 | 告警总量、误报率、处置率、平均响应时间 |
| 前提 | 被抑制的告警仍要入库可查 |
典型使用场景
- 例行扫描器与自检流量持续触发告警
- 同一次攻击被多台设备重复告警
- 值班反映告警太多，真实事件被淹没
- 业务变更后误报回归，需要复核规则
- 向管理层量化告警治理效果
降噪步骤
降噪步骤
# 1. 统计 TOP 告警来源（设备、规则、源地址）
# 2. 逐类判断：真实攻击、误报、重复告警
# 3. 误报调阈值或加例外，重复做聚合与抑制
# 4. 用关联规则把同一事件的多次命中合并
# 5. 一个月后复核效果与漏报情况，更新基线手段与风险
| 手段 | 作用 | 风险 |
|---|---|---|
| 阈值优化 | 减少低频噪声 | 阈值过高会漏检真实攻击 |
| 同类聚合 | 重复告警合并为一条 | 聚合过粗会丢失细节 |
| 关联抑制 | 同一事件只告警一次 | 抑制链设计错误会掩盖攻击后续阶段 |
| 例外白名单 | 排除已知正常来源 | 白名单过宽等于自己开了口子 |
降噪不是屏蔽：被抑制的告警仍应入库可查，否则事件复盘时缺少证据。
把高频告警直接丢弃最省事也最危险：真实攻击往往就伪装在高频噪声里。
降噪效果要用数据回头验证：把降噪前后的告警总量、真实事件发现率、平均处置时间放在一起比较，只看告警变少不足以说明改进。