周审解决什么问题
威胁告警是持续产生的，如果只在「有空的时候」才看，结果就是积累上千条未读记录，真正的事故被淹没在噪声里。周审把审阅变成固定节奏：每周花固定时间看高危及高频事件、新增规则命中、误报反馈，输出周报与处置清单。它的价值不在看得多细，而在让威胁运营从被动响应变成定期消化。
基本信息
| 关注内容 | 高危与严重事件、TOP 来源与规则、环比变化 |
|---|---|
| 处置动作 | 确认处置状态、调整例外、反馈误报 |
| 输出物 | 周报：事件统计、重点处置与规则优化建议 |
| 执行节奏 | 每周固定时间，节假日前可加密一次 |
| 配合角色 | 安全运营负责审阅，业务方配合确认误报 |
| 闭环要求 | 重点事件跟踪到处置完成，未闭环项下周转办 |
典型使用场景
- 每周固定审阅高危与高频威胁事件
- 评估新增特征库带来的新告警是否合理
- 统计误报并反馈给规则维护方调优
- 向管理层汇报攻击态势与防护效果
- 节假日与活动保障期的加密审阅
周审清单
周审清单
□ 严重与高危事件是否已处置闭环 # 优先
□ 高频规则命中是真实威胁还是误报 # 甄别
□ 新增特征库带来的新告警是否已评估 # 版本影响
□ 例外与白名单是否仍然必要 # 复查
□ 上周未闭环项是否已跟进 # 连续性周审结论与后续动作
| 审阅发现 | 后续动作 |
|---|---|
| 高危事件未处置 | 当周内完成处置并记录结果 |
| 规则误报偏高 | 提交规则调优或调整动作模式 |
| 持续扫描来源 | 拉黑或加入监控名单 |
| 异常增长趋势 | 排查是否存在新业务或新攻击面 |
周审的价值在节奏：固定时间、固定口径、固定输出，威胁运营才不会退化成「出事才看」。
积累上千条未读告警后，真正的事故会被噪声淹没；审阅时先按级别与频率排序，再逐项甄别，不要平均用力。