调优是循环不是动作
规则上线只是开始：收集告警、分析哪些有效、调整阈值或例外、观察效果、固化到基线文档，这个循环每转一轮，规则集就更贴合自己的网络。没有循环，规则状态会永远停留在上线初期的那套设置，而业务早就变了。
输入与输出都要有
循环要有明确的输入（告警量、误报率、漏报案例、业务变化）和输出（更新的基线文档、值班手册、例外清单）。只调不写，团队对规则的认知无法沉淀；只写不调，文档很快与设备实际状态脱节。
基本信息
| 输入 | 告警量、误报率、漏报案例、业务与流量变化 |
|---|---|
| 动作 | 调阈值、加例外、启停规则、升级特征库 |
| 输出 | 基线文档更新、值班手册更新、例外清单 |
| 节奏 | 按月固定一轮，重大变更或事件后即时插入一轮 |
典型使用场景
- 例行月度安全运维工作
- 误报集中爆发后做一轮收敛
- 发生漏报事件后回头复核规则覆盖
- 业务系统上线或下线导致流量结构变化
- 人员交接：用基线文档说明当前规则状态
- 审计与检查时证明规则经过持续维护
月度调优流程
月度调优流程
# 1. 导出当月告警量 TOP 规则，按数量排序
# 2. 逐条确认是有效检测、误报还是重复告警
# 3. 处理误报（调阈值或加精确例外）并记录原因
# 4. 复核漏报案例，确认规则覆盖是否有缺口
# 5. 更新基线文档与值班手册，标注本轮变更环节与产出
| 环节 | 产出 |
|---|---|
| 告警分析 | 有效告警与误报的清分结果 |
| 规则调整 | 阈值、例外与启停的变更记录 |
| 效果观察 | 调整前后告警量与误报率的对比 |
| 文档固化 | 更新后的基线与值班手册 |
调优记录要包含「为什么调」：不写原因，半年后没人敢动这些规则，也没人敢删这些例外。
没有月度节奏时，规则状态会长期停留在上线初期的设置，误报与漏报都会随着业务变化慢慢累积。
只在误报爆发时被动调优，容易形成「谁吵得凶就调哪条」的局面，检测覆盖会一点点被削掉。