看板要按受众分层
日志与安全看板同时服务两类人：值班人员要看现在的运行状态与待处理告警，管理层要看一段时间内的趋势与合规状态。把两者混在一屏，结果是值班嫌信息不够细、管理层觉得太杂。可行的做法是分层布局：第一屏给运行状态与当日告警，第二屏给趋势与 TOP 排行，第三屏给日志接入与延迟健康度。每个指标都要能下钻到明细，否则发现异常后还要切到别的系统重新查一遍。
基本信息
| 受众分层 | 值班人员看运行与待办，管理层看趋势与合规状态 |
|---|---|
| 核心指标 | 设备在线率、当日告警量与分级分布、威胁 TOP、日志接入状态与延迟 |
| 布局原则 | 关键指标大字号置顶，支持下钻到明细记录 |
| 刷新节奏 | 运行状态分钟级刷新，趋势类图表按小时或天聚合 |
| 维护要求 | 指标口径与日志平台一致，变更指标时同步更新说明 |
典型使用场景
- 值班交接：用同一屏快速交代当前设备状态与待处理事项
- 日常巡检：确认所有设备日志接入正常、时延处于正常区间
- 汇报展示：以趋势与合规状态说明阶段性防护成效
- 异常发现：告警量突增或某设备日志中断时第一时间看到并下钻
- 容量观察：日志存储与延迟指标持续走高时提前介入
- 跨团队协同：运维、安全、业务方基于同一屏数据讨论，减少口径争议
看板布局建议
看板布局建议
第一屏 运行状态：设备在线率 + 当日告警总量与分级分布 # 值班最关心
第二屏 威胁视图：告警趋势曲线 + TOP 规则与 TOP 来源
第三屏 日志健康：各设备接入状态、入库时延、存储使用率
交互要求 每个指标支持下钻到原始日志明细，避免只展示数字
刷新要求 运行状态分钟级，趋势与容量类按小时或天
说明区 标注统计口径、时间范围与数据来源指标读法
| 指标 | 含义 | 异常表现 |
|---|---|---|
| 设备在线率 | 正常上报日志的设备占比 | 下降说明设备离线或日志链路中断 |
| 告警量趋势 | 单位时间的告警数量分布 | 突增可能是攻击活动或规则变更误报 |
| 威胁 TOP | 命中次数最多的规则与来源 | 结构变化反映攻击手法或暴露面变化 |
| 日志接入状态 | 各设备日志是否持续上报 | 个别设备无数据往往是链路或配置问题 |
| 入库时延 | 日志从产生到可检索的时间差 | 拉长说明链路拥塞或平台写入受限 |
| 存储使用率 | 日志存储空间占用比例 | 持续走高需评估扩容或归档策略 |
看板指标要与处置动作挂钩：每个红色指标都应能回答「接下来谁做什么」。纯展示型的数字堆砌，只会让人习惯性忽略红色区块。