安全运营告警分诊速查卡

## 10 分钟流程 1. **确认真实性**：规则是否误报？是否变更窗口内已知行为？ 2. **影响面**：哪些主机/账号/数据可能受影响？ 3. **活跃度**：是否仍在进行？需要隔离吗？ 4. **升级**：触及核心业务或确认入侵 → 启动应急流程。 5. **记录**：时间线、IOC、已采取措施。 ## 关闭标准 - 误报：规则优化建议已提交。 - 真警已处置：根因或临时缓解到位，验证无复发。 - 转事件：工单号与值班交接清楚。 ## 忌讳 只点「关闭」不写原因；只加白不改检测逻辑；不问业务上下文。