用途：在 Elastic Security SIEM 中对安全告警进行系统化分诊，即审查、分类并排序告警，判断哪些属于真实威胁。资料指出，Elastic 的 AI 驱动 Attack Discovery 可将数百条告警归并为离散攻击链，但分析师的人工分诊仍不可替代；结构化分诊流程通常每个告警簇耗时 5-10 分钟。
主要能力与流程：分诊按五步展开。第一步初始评估（约 2 分钟），查看告警详情面板中的规则名称与描述、严重度与风险评分、MITRE ATT&CK 映射、主机与用户上下文、进程树及关联事件时间线，重点字段包括 kibana.alert.severity、kibana.alert.risk_score、host.name、user.name、process.name、source.ip、destination.ip、threat.tactic.name。第二步上下文收集（约 3 分钟），用 ES|QL 查询关联事件、可疑用户活动、同源相关告警及横向移动。第三步威胁情报富化（约 2 分钟），比对威胁指标与文件哈希。第四步分类决策（约 2 分钟），分为真阳性、良性真阳性、误报、需进一步调查。第五步记录与升级（约 1 分钟），记录分类依据、证据、关联告警与建议后续步骤。
使用方式：需部署 Elastic Security 8.x 或更高版本，配置 Elastic Agent 或 Beats 采集端点与网络数据，启用检测规则并产生告警，数据源符合 ECS，分析师具备 Kibana Security 应用访问权限。可使用 1000+ 预置检测规则（按 MITRE ATT&CK 战术、平台、数据源组织），也可编写自定义关联规则。AI 辅助方面，可在告警中打开 AI Assistant 面板，使用“总结此告警”“生成 ES|QL 查询查找相关活动”“推荐响应动作”“是否可能是误报”等快捷提示；Attack Discovery 可自动归并攻击链、映射杀伤链阶段、用 ML 过滤误报、按业务影响排序并生成攻击叙述。
适用场景：涉及 Elastic SIEM 告警分诊的安全评估、相关安全事件的事件响应流程、计划性安全测试或审计、通过实操验证安全控制。
限制与指标：资料给出分诊优先级矩阵（按风险评分、严重度、资产关键性设定响应 SLA）及 KPI 目标，如平均分诊时间小于 10 分钟、误报率低于 30%、升级率 10-20%、告警覆盖率高于 80%、重分类率低于 5%。具体部署细节、许可与价格暂未提供。