| 示例剧本 | 设备离线、磁盘将满、双机降级、高危威胁命中 |
|---|---|
| 结构 | 判定→确认→处置→升级→记录 |
| 维护 | 每次事件复盘后更新剧本 |
剧本样例：设备离线
剧本样例：设备离线
1. 确认离线时长与站点网络状态
2. 判断是否双机降级（另一台状态）
3. 远程不可达时安排现场检查
4. 超时升级：通知负责人与厂商
5. 恢复后补记时间线剧本的价值在于把“怎么办”提前想清楚，值班只需执行与判断少量分支。
本包目录（400 条）
防火墙策略52 条NAT 与发布75 条IPS 与 IDS66 条WAF 防护73 条
审计与日志58 条
- 安全设备日志外发基础
- NTP 时间同步
- 日志留存周期管理
- 管理员操作审计
- NetFlow 流量日志基础
- NAT 日志的审计价值
- 华为设备日志配置要点
- 等保日志审计要求解读
- Syslog 端口与传输方式
- SNMP Trap 告警对接
- 多源日志关联分析
- 日志级别与内容选择
- 会话日志的作用与取舍
- 威胁日志留存与使用
- 登录日志分析与异常发现
- SIEM 对接要点
- 告警降噪
- Syslog 日志格式
- rsyslog 接收安全设备日志
- 日志丢失排查
- 配置变更日志与留痕
- H3C 设备日志配置要点
- 日志解析与字段归一
- 设备日志缓冲查看
- 溯源证据链构建
- 日志磁盘写满处理
- 日志服务器接收验证
- 深信服设备日志对接
- ELK 日志平台对接
- 日志完整性保护
- 邮件告警配置
- 告警通知通道组合
- 调试命令使用注意
- 日志例行周审
- 日志多目标转发
- 审计报表输出
- 日志系统访问控制
- 日志备份管理
- 本地日志与外发日志配合
- 日志平台自身安全
- 日志常见问题速查
- 告警处置剧本
- 账号与操作审计复核
- 日志加密外发
- 时区统一配置
- Graylog 日志平台使用
- 日志归档与恢复
- 日志容量规划
- 日志链路演练
- 日志检索基础方法
- 日志存储扩容规划
- 日志时延监控
- IPFIX 与 NetFlow v9 选择
- 日志存储加密
- 合规检查应对准备
- 日志与安全看板
- 安全报表模板设计
- 厂商日志支持与格式获取
告警处置剧本
为高频告警编写处置剧本：判定条件、影响范围确认、处置动作、升级路径、记录要求，值班按剧本执行减少临场判断。
易错点
- 剧本只写原则性描述，执行时仍需现查文档
- 剧本与设备实际版本不符，步骤无法落地
数据来源与参考
- 通用应急响应实践