用途
该技能用于构建结构化的 SOC（安全运营中心）升级矩阵，定义安全事件如何根据严重性、影响和响应要求在企业内流转。资料指出，现代 SOC 采用上下文驱动的升级方式，结合业务风险、资产关键性和数据敏感性，而非单纯基于严重性模型。
主要能力
SOC 分级结构
- Tier 1 - 告警分类分析师：监控 SIEM 仪表盘和告警队列；执行初始告警分类（真/假阳性）；处理 P3 和 P4 事件直至解决；在 SLA 内将 P1 和 P2 事件升级至 Tier 2；在工单系统中记录初始发现。
- Tier 2 - 事件分析师：对升级事件进行深入调查；执行根因分析和范围界定；执行遏制程序；处理 P2 事件直至解决；将 P1 事件升级至 Tier 3 或管理层。
- Tier 3 - 高级分析师/威胁狩猎：处理 P1 关键事件和 APT 调查；执行主动威胁狩猎；开发检测规则和剧本；进行恶意软件逆向工程；主导重大入侵的事件响应。
- 管理层升级：SOC 经理负责运营决策和资源分配；CISO 负责业务影响决策和高管沟通；法务/公关负责数据泄露通知和媒体响应；外部 IR 负责第三方事件响应介入。
严重性分类
- P1 - 关键：影响为活跃数据泄露、勒索软件扩散、关键系统被攻陷；初始响应 15 分钟；立即升级至 Tier 2；30 分钟内升级至管理层；解决目标 4 小时；每 30 分钟向利益相关方沟通。示例包括活跃勒索软件、确认的数据外泄、域管理员账户被攻陷。
- P2 - 高：影响为确认的入侵、范围有限、无活跃外泄；初始响应 30 分钟；未解决则 30 分钟内升级至 Tier 2；2 小时内升级至管理层；解决目标 8 小时；每 2 小时向 SOC 管理层沟通。示例包括用户账户被攻陷、单端点恶意软件、内部威胁指标。
- P3 - 中：影响为需要调查的可疑活动；初始响应 4 小时；未解决则 8 小时内升级至 Tier 2；解决目标 24 小时；每日状态更新。示例包括策略违规、失败的暴力破解、可疑邮件报告。
- P4 - 低：影响为信息性告警、常规安全事件；初始响应 8 小时；仅在出现模式时升级；解决目标 72 小时；每周摘要。示例包括漏洞扫描发现、过期证书、策略例外。
升级决策矩阵
根据严重性（低、中、高、关键）与资产关键性（低、中、高、关键）的交叉组合确定优先级，例如严重性低且资产关键性低为 P4，严重性关键且资产关键性关键为 P1。
上下文驱动的升级触发条件
自动升级（无需分析师决策）：任何端点检测到勒索软件、域管理员账户被攻陷、向外部 IP 活跃数据外泄均触发 P1 并立即通知 Tier 3 和管理层；关键基础设施（DC、SCADA）告警触发 P1 并至少立即通知 Tier 2；高管账户异常触发 P2 并立即通知 Tier 2；多台主机感染相同恶意软件触发 P1 并立即通知 Tier 2。
基于时间的升级：P2 未解决超过 4 小时升级至 Tier 3；P3 未解决超过 12 小时升级至 Tier 2；任何事件超过 SLA 未解决升级至 SOC 经理；P1 未解决超过 2 小时升级至 CISO。
沟通模板
提供 P1 初始通知模板，包含事件摘要（类型、受影响系统、受影响用户、当前状态、负责人）、影响评估（业务影响、数据风险、遏制状态）、后续行动和下次更新时间（30 分钟间隔）及桥接线路信息。
SOAR 集成
提供 XSOAR 升级剧本触发示例，条件为事件严重性为 critical 且资产关键性为 high 时，执行分配 Tier 3、通知 SOC 经理和 CISO、创建作战室、启动桥接、设置 4 小时 SLA。同时提供自动升级规则示例：P2 基于时间的升级，条件为严重性 high 且事件存在时间超过 4 小时且状态未解决时，升级至 Tier 3、通知 SOC 经理并添加评论。
使用方式
资料列出适用场景：在环境中部署或配置该能力时；建立符合合规要求的安全控制时；构建或改进该领域安全架构时；执行需要此实现的安全评估时。
前置条件
熟悉 SOC 运营概念和工具；可访问测试或实验环境以安全执行；Python 3.8+ 并安装所需依赖；任何测试活动需获得适当授权。
适用场景与限制
该技能适用于需要建立或优化安全事件升级流程的 SOC 团队，帮助统一严重性判定、响应时限和通知路径。资料未提供具体实施工具版本、部署平台限制或收费信息。