用途
该技能用于安全事件的初步分诊（Triage），即在 SIEM 或 EDR 告警触发后、正式升级响应之前，由分析师对事件进行快速分类、优先级判定与上下文补充。其适用时机包括：SIEM/EDR 告警需要人工分类后再升级；多个告警并发时 SOC 需确定响应顺序；终端用户报告可疑活动需初步归类；威胁情报源匹配到环境中观测到的 IOC。不适用于常规漏洞扫描结果或不代表活跃安全事件的合规审计发现。
主要能力
技能围绕六个步骤展开：
- 收集初始告警数据：从触发告警中收集告警来源、时间戳（事件发生与检测时间差）、受影响资产、告警保真度（历史真阳性率）及原始证据（日志、数据包捕获、进程执行链）。
- 分类事件类型：按 NIST SP 800-61r3 类别映射，包括未授权访问、拒绝服务、恶意代码、不当使用、侦察、Web 应用攻击。
- 按影响矩阵分配严重性：结合资产关键性、威胁类型、数据敏感度与横向移动可能性，将事件分为 P1（严重）至 P4（低），并对应响应 SLA 目标（如 P1 15 分钟内确认、1 小时内遏制）。
- 执行初步富化：对 IOC 进行威胁情报查询（VirusTotal、OTX、MISP），查询 CMDB 获取资产上下文，检查身份提供商认证异常，关联过去 30 天同主机/用户告警，验证源/目的 IP 属性。
- 记录与升级：生成结构化分诊记录（含工单 ID、分类、严重性、受影响资产与用户、IOC、TI 匹配、升级目标与建议），路由至相应响应层级。
- 启动遏制暂扣：若为 P1 或 P2，在等待完整调查期间执行即时遏制，如通过 EDR 网络隔离终端、禁用账户、在防火墙与 DNS 层面阻断恶意 IP/域名、保留易失性证据（内存转储）。
使用方式
技能提供完整工作流与输出格式模板。分析师按步骤执行，最终输出“事件分诊报告”，包含分类（NIST 类别、P1-P4 严重性、置信度、MITRE ATT&CK 技术 ID）、受影响范围（资产、用户、风险数据、业务单元）、证据摘要、富化结果、建议行动与升级信息。技能还包含常见场景示例（如邮件客户端触发编码 PowerShell 告警）及对应处置方法与常见陷阱。
适用场景
适用于 SOC 分析师在告警触发后的初步分类与优先级排序，尤其适合多告警并发、用户报告可疑活动、威胁情报匹配等需要快速人工判断的场景。
限制
不适用于常规漏洞扫描结果或合规审计发现。使用前需具备 SIEM 平台访问权限、与 NIST 类别对齐的分类体系、预定义严重性矩阵、升级联系人名单及带业务关键性评级的资产清单。技能中提及的具体工具（Splunk、CrowdStrike Falcon、TheHive、MISP、Cortex XSOAR）为示例，实际使用需根据环境配置。