该技能面向安全运营中心（SOC）的告警分诊流程，目标是将新收到的安全告警转化为可处置的事件工单，并确定严重级别、响应剧本与处置团队。
一、用途与适用时机 当从 SIEM、EDR 或其他检测源收到新的安全告警；SOC 分析师需要判断告警是否为需要响应的真实事件（true positive）；事件需要严重级别分类与团队分派；多个并发事件需要排定优先级；或自动分诊规则需要验证与调优时，可使用该流程。
二、前置条件 需要具备告警关联能力的 SIEM 平台（Splunk、Elastic、QRadar、Sentinel）；按事件类型组织的应急响应剧本库；经 CISO 批准的严重级别分类矩阵；值班轮换与升级流程；用于事件跟踪的工单系统（ServiceNow、Jira、TheHive）；以及用于 IOC 富化的威胁情报源。
三、工作流程（共 7 步）
- 接收并确认告警：通过 Splunk 查询新的 critical/high 告警，或通过 TheHive API 查询新案件；在 SIEM 中确认告警以避免重复分诊。
- 富化告警数据：使用 VirusTotal 查询源 IP 与文件哈希、使用 AbuseIPDB 检查 IP 信誉，并查询内部资产数据库获取受影响系统的资产重要性、负责人与环境。
- 分类事件类型：将告警映射到事件类别（恶意软件、钓鱼、未授权访问、数据外泄、DoS/DDoS、内部威胁、勒索软件、账户失陷、Web 攻击）；通过剧本触发条件文件匹配告警特征，或依据 MITRE ATT&CK 技术编号确定事件类型。
- 分配严重级别：依据资产重要性、数据敏感度（PII/PHI/PCI/机密/公开）、受影响系统数量、威胁处于活动还是历史状态、已确认还是疑似失陷等因子计算严重度分数，并按阈值划分为 CRITICAL-P1、HIGH-P2、MEDIUM-P3、LOW-P4。
- 选择并启动剧本：根据事件类型加载相应剧本（如勒索软件、钓鱼、未授权访问剧本），并在 TheHive 中创建事件工单，包含标题、描述、严重度、TLP/PAP、标签与自定义字段（剧本名称、受影响系统数）。
- 分派响应团队：查询值班安排（如 PagerDuty），按严重级别通知响应人员——P1 通知 IR 负责人、高级分析师与 CISO；P2 通知 IR 负责人与可用分析师；P3 分配给下一位可用分析师；P4 排队等待工作时间处理。
- 记录分诊决定并交接：更新事件工单，写入分诊分析师、分诊时间与严重度理由，并将状态置为进行中。
四、关键概念 涉及真实事件（true positive）与误报（false positive）区分、严重级别分类、剧本选择、IOC 富化、升级阈值、分诊 SLA（关键事件通常 15–30 分钟）等概念。
五、工具与系统 Splunk/Elastic/QRadar 用于 SIEM 告警关联与查询；TheHive/SIRP 用于事件案件管理与剧本跟踪；VirusTotal/AbuseIPDB 用于 IOC 信誉与富化；PagerDuty/OpsGenie 用于值班管理与告警；MITRE ATT&CK 用于技术分类与映射；Cortex XSOAR 用于自动化分诊工作流的 SOAR 平台。
六、常见场景 暴力破解告警：单一 IP 多次登录失败，富化 IP 信誉、检查地理位置、核实账户是否失陷，未成功则定为 P3。端点恶意软件检测：AV/EDR 已隔离恶意软件，核实隔离是否成功、检查横向移动，发现持久化则定为 P2。可疑外联流量：向未知外部 IP 大量传输数据，确认是否为已知云服务、核实数据分类，确认外泄则定为 P1。钓鱼邮件上报：用户报告可疑邮件，提取 IOC、检查是否其他人也收到，若已输入凭据则定为 P2。权限提升：用户意外获得管理员权限，核实是否为授权变更、检查是否被利用，未授权则定为 P1。
七、输出格式 包括带严重度理由的分诊决定文档、含指定剧本与团队的工单、附加到案件的 IOC 富化摘要、面向相关方的升级通知，以及来自告警数据的初始事件时间线。
限制说明：资料未提供该技能的安装命令、收费方式、价格、平台支持范围与具体效果数据，这些信息暂未提供。