用途
alert-triage 是一个面向 SOC 分析师的安全告警分级处置（triage）技能，用于对 SIEM、EDR、IDS 或云安全工具产生的告警进行结构化调查，最终输出告警处置结论（TP/BTP/FP）、优先级（P1-P4）以及是否升级的判断。每个告警的处理时间约为 10 至 20 分钟。
当满足以下任一条件时可调用该技能：
- 收到新告警：SIEM、EDR 或安全工具产生需要分析师调查的告警。
- 告警队列排序：存在多个待处理告警，需要确定调查顺序。
- 真阳性判定：需要结构化方法判断告警是真实威胁、良性活动还是误报。
- 升级决策：需要判断是否应将告警升级至 Tier 2、IR 团队或管理层。
- 分级处置记录：需要产出稳定、可审计的分级处置记录。
不适用场景：告警已确认为真阳性并需要完整事件响应（应使用 ir-playbook）；任务是编写新的检测规则（应使用 detection-engineering 或 siem-rules）；任务是对已确认入侵进行取证分析（可先用 log-analysis 做初步调查）。
主要能力
该方法论分为四个阶段。
第一阶段：收集（Collect）。在收集完成前不做处置判断。需要收集的数据包括：告警载荷（完整告警详情、原始事件、匹配的规则逻辑，来自 SIEM 如 Sentinel、Splunk、QRadar）、资产清单（主机名、IP、操作系统、负责人、业务单元、关键性等级，来自 CMDB 或资产管理）、用户目录（用户名、角色、部门、经理、账户状态，来自 Active Directory、Azure AD、HR 系统）、EDR 遥测（进程树、文件活动、端点网络连接，来自 CrowdStrike、Defender for Endpoint、SentinelOne）、网络遥测（NetFlow、DNS 查询、代理日志，来自防火墙、代理、DNS 日志）、威胁情报（对 IP、域名、哈希、URL 的 IOC 查询，来自 VirusTotal、OTX、MISP、TI 平台）以及历史告警（同一用户、主机或 IOC 的历史告警）。该阶段对应 NIST SP 800-61 第 3.2 节“检测与分析”。
第二阶段：关联（Correlate）。将告警数据与周边上下文关联，包括时间关联（同一主机或用户前后 30 分钟内发生的其他事件）、横向关联（同一时间段其他主机或其他安全工具的告警）、行为关联（是否符合已知 ATT&CK 技术模式、是否符合用户或系统行为基线）、威胁情报关联（指标是否匹配已知威胁行为者基础设施、恶意软件活动或已发布 IOC）以及杀伤链关联（该活动处于攻击生命周期的哪个位置，是否有前置或后续阶段证据）。技能提供基于 ATT&CK 的关联框架，例如：若告警映射到 Initial Access（TA0001），应查找 Execution（TA0002）与 Persistence（TA0003）的关联活动；若映射到 Command and Control（TA0011），则暗示存在活跃入侵，应查找完整攻击链。
第三阶段：分类（Classify）。根据收集与关联的数据赋予处置结论与优先级。处置类别包括：真阳性（TP，告警正确识别了构成真实威胁的恶意或未授权活动，应升级至事件响应并创建事件工单）、良性真阳性（BTP，告警正确识别了规则描述的活动但该活动为授权、预期或合法运营的一部分，应记录合法理由，若反复出现则请求规则调优，关闭告警）、误报（FP，告警错误触发，底层活动与规则意图检测的内容不符，应记录误报原因，提交调优请求，关闭告警）。优先级矩阵基于资产关键性、威胁严重性和置信度组合：P1 严重（业务关键资产上已确认的恶意活动、活跃数据外泄、勒索软件执行、认证基础设施被入侵、CISA KEV 列出的漏洞利用活动；15 分钟内升级至 IR 团队与管理层）、P2 高（生产或面向客户系统上的高置信度告警、指标匹配已知威胁行为者 TTP、检测到成功利用但影响未确认；30 分钟内开始调查，1 小时内升级）、P3 中（中等置信度告警或非关键系统上的可疑活动、行为异常但无确认恶意指标；4 小时内调查，若确认为 TP 则升级）、P4 低（低置信度告警、信息性检测或无直接安全影响的策略违规、来自已知扫描服务的侦察活动；24 小时内调查）。优先级决策因素包括资产关键性、用户权限级别、威胁情报匹配、杀伤链阶段、置信度水平和业务上下文。
第四阶段：升级（Escalate）。判断告警是否需要升级以及升级给谁。升级条件包括：处置为 TP 且优先级为 P1 或 P2（升级至 IR 团队负责人与 CISO/安全管理层）、确认数据外泄或勒索软件（IR 团队、法务与高管）、特权账户被入侵（IR 团队、身份团队与管理层）、告警涉及受监管数据如 PII/PHI/PCI（IR 团队与合规/隐私官）、分析师调查 20 分钟后仍不确定处置（Tier 2 分析师或团队负责人）、告警匹配已知活跃威胁活动（威胁情报团队与 IR 团队）、多个关联告警暗示协同攻击（IR 团队负责人以宣告事件）。技能还提供升级文档模板，包含告警 ID、处置、优先级、摘要、受影响资产、受影响用户、ATT&CK 技术、关键证据、建议操作、升级对象、升级人、升级时间等字段。该阶段对应 NIST SP 800-61 第 3.2.6 节“事件通知”和第 3.2.7 节“升级”。
使用方式
该技能以结构化流程执行：调用时若通过参数提供目标，则将审查聚焦于该目标。执行时依次完成收集、关联、分类、升级四个阶段，并输出结构化报告，包含告警摘要表、受影响实体表、分级处置决策表、证据摘要、关联结果、建议操作以及（若为 BTP 或 FP）调优建议。报告注明所用框架为 MITRE ATT&CK v16 与 NIST SP 800-61 Rev 2。若部分上下文无法获取，则基于可用信息继续，并将缺口记为假设。
适用场景
适用于 SOC 一线分析师的日常告警调查、告警队列优先级排序、真阳性/误报判定、升级决策与可审计的分级处置记录产出。
限制
该技能不用于已确认真阳性后的完整事件响应、新检测规则编写或已确认入侵的取证分析。此外，资料中未提供关于收费、价格或具体部署平台的更多信息。