| 分级维度 | 威胁类型、目标重要性、是否成功（失陷迹象） |
|---|---|
| 处置 | 严重：隔离+上报；可疑：研判+取证；低危：记录归档 |
| 闭环 | 处置结果回填工单与台账 |
分级示例
分级示例
P1：内网主机外联 C2 特征命中 → 立即隔离处置
P2：对公网服务的漏洞利用尝试 → 研判封禁
P3：互联网背景扫描 → 归档统计分级标准提前写进预案，事件发生时才不会争论“这算不算严重”。
威胁事件分级处置
按事件危害与确定性分级：严重事件立即处置并上报，可疑事件研判后处置，低风险扫描类批量归档，避免一刀切。
易错点
- 所有告警同等对待，值班精力被稀释
- 分级标准未文档化，处置口径因人而异
数据来源与参考
- 通用安全事件响应实践