用途：用于在 Splunk Enterprise Security (ES) 中对安全告警进行一线研判，处理 Incident Review 队列中的 notable event，完成严重度分级、初步调查、跨源关联与结论判定后再决定是否升级。不适用于深度取证，确认恶意后应升级至二级/三级。
主要能力与流程：一、打开 Incident Review 面板，按 urgency（severity 乘 priority）排序，聚焦未分配事件，优先处理 Critical 与 High，并按 src 或 dest 归并相关告警以识别攻击链。二、对每个 notable event 下钻原始事件，如对暴力破解告警检索 EventCode=4625 并统计计数，结合资产与身份查找表判断来源是内网横向移动还是外部攻击。三、跨数据源关联，检查同一来源在代理、防火墙、DNS、终端等遥测中的表现，寻找佐证。四、查询威胁情报框架匹配已知 IOC，对域名可用 tstats 检索 Web 数据模型。五、按标准分类：True Positive（升级）、Benign True Positive（授权活动，关闭并视情况抑制）、False Positive（关闭并调优关联搜索）、Undetermined（交二级并附调查笔记）。六、在 notable event 评论字段记录来源与目的、已查数据源、关联发现、判定理由与后续步骤。七、统计研判时长等指标。
必要条件：Splunk ES 7.x 及以上并配置 Incident Review；具备 CIM 规范化数据源（Windows 事件日志、防火墙、代理、终端）；拥有 ess_analyst 能力以更新 notable event 状态；熟悉 SPL。常用更新方式为 Splunk ES 界面或 REST API 的 sendalert update_notable_event 参数。
限制：资料未提供具体价格、授权方式、部署环境或性能数据；方法依赖已有数据源与查找表配置，缺少数据时只能标记 Undetermined。