告警日志字段与内容是什么
IPS 告警日志要能支撑两件事：研判（这条告警是真攻击还是误报）与溯源（涉及哪台资产、时间窗口多大）。因此日志至少要包含时间、设备、规则标识、源与目的地址及端口、协议、动作与方向，最好还带资产标签、威胁类别与严重级别。字段缺得越多，研判就越依赖人工猜测，值守效率直线下降。
基本信息
| 必备字段 | 时间、设备、规则标识或名称、源与目的地址端口、协议、动作、方向 |
|---|---|
| 加分字段 | 资产标签、威胁类别、严重级别、报文摘要、请求上下文 |
| 外发方式 | syslog 到日志平台或 SIEM，字段需解析归一 |
| 时间要求 | 统一时钟源，时间戳带时区 |
| 留存要求 | 满足审计周期，日志平台侧防篡改 |
典型使用场景
- 值守研判：按严重级别与资产重要性排序处理告警
- 误报分析：按规则标识统计命中量，找出高误报规则
- 攻击溯源：用五元组与时间窗口关联其他日志
- 资产影响评估：确认告警涉及的是核心系统还是测试机
- 合规审计：抽查指定时间段的威胁日志留存情况
- 报表输出：按类别与趋势生成周报月报
检查清单
检查清单
# [ ] 五元组完整，源与目的地址端口均可查
# [ ] 规则标识可回溯到特征库的具体条目
# [ ] 动作字段区分告警与阻断、复位连接等
# [ ] 时间与统一时钟同步，格式带时区
# [ ] 设备标识明确，多设备日志可区分来源
# [ ] 日志已解析归一，字段可检索与统计字段与研判价值
| 字段 | 研判用途 | 缺失后果 |
|---|---|---|
| 规则标识 | 确认检测依据与威胁类型 | 无法判断为什么告警 |
| 源与目的地址端口 | 定位攻击方与目标资产 | 无法评估影响范围 |
| 动作 | 区分仅是记录还是已阻断 | 把已阻断事件当未处置事件重复投入 |
| 方向 | 判断是入向攻击还是出向回连 | 研判方向错误 |
| 时间 | 关联其他系统日志 | 时间线拼不完整 |
告警日志与流量日志（NetFlow）联合分析能更快判断影响面：流量记录说明通信规模，告警记录说明通信性质。
日志字段口径要在接入前定好，后期再补字段需要重新解析历史数据，成本高且常常无法回溯。