事件为什么要分级
威胁事件分级处置是按危害程度与确定性把告警分成若干等级，再匹配不同动作：严重事件立即隔离上报，可疑事件研判后处置，低风险扫描类批量归档。分级让值班精力集中在真正要紧的事件上，避免所有告警同等对待把关键事件淹没。分级标准要提前写进预案，事发时才不必争论这算不算严重。
基本信息
| 分级维度 | 威胁类型、目标资产重要性、是否成功（有无失陷迹象） |
|---|---|
| 处置动作 | 严重：隔离并上报；可疑：研判与取证；低危：记录归档 |
| 闭环要求 | 处置结果回填工单与台账 |
| 标准维护 | 事件复盘后更新分级标准与处置剧本 |
典型使用场景
- 值班处置：按分级快速决定先做什么，而不是逐条分析
- 告警量突增：用分级过滤背景扫描，聚焦真实威胁
- 事件上报：确定哪些级别需要向上级或监管报告
- 复盘改进：按分级统计处置时效，发现流程瓶颈
- 预案演练：用分级标准检验处置链条是否通畅
分级示例
分级示例
# P1：内网主机外联 C2 特征命中 -> 立即隔离并启动应急
# P2：针对公网服务的漏洞利用尝试 -> 研判并封禁来源
# P3：互联网背景扫描与探测 -> 统计归档，不做逐条处置
# 分级依据：目标重要性、是否成功、是否已有失陷迹象
# 处置结果与耗时回填工单，作为月度统计的统一口径分级与动作
| 级别 | 判定要点 | 处置动作 |
|---|---|---|
| P1 严重 | 内网失陷迹象或核心业务受影响 | 立即隔离、上报、启动应急 |
| P2 可疑 | 存在利用尝试但未确认成功 | 研判、取证、按需封禁 |
| P3 低危 | 背景扫描与探测类 | 统计归档，定期分析来源趋势 |
分级标准要写成可判断的条件（例如是否存在内网主机主动外联），而不是模糊描述，否则不同值班人员的判定结果会相差很大。