4.3 SOC：从告警到已验成果

本页用虚构告警示范自建 SOC 业务的使用流程。可用本地记录或表格练习；要读取外部告警，须自行接通有权限的只读连接。目标是留下可核对的来源、分工与成果，不是保证模型判断正确，也不执行自动封禁或隔离。

本页说明自行搭建业务，不需要安装市场资源；使用市场中的 SOC 相关模板或看板时，以其详情页说明为准。接入真实 SIEM/EDR 前须配置并验证自己的连接、数据映射和权限，核对模型输出，不将示例告警或演示结果视为真实环境的判断。

1. 搭建并保存业务

在 业务 > 新建业务 打开的会话里说明：「我要跟进安全告警，记录来源、时间、资产、发现和复核状态，并看告警趋势。」查看生成的记录页与看板草案，按需要修改，然后点 保存业务、打开业务。保存本身不会同步告警或启动员工工作。

2. 把告警变成记录

有受管只读告警连接时，在业务页的 外部数据来源（例如告警） 按提示进入 连接目录 接通，再用 调整业务 声明来源和字段、预览试拉并确认映射。到 数据同步 点 立即同步 后，打开告警记录核对内容。周期同步初始暂停，需本人按规则启用；连接成功不等于记录已同步。

没有外部连接也可在告警记录页点 新增记录，或用 导入表格 读取 CSV/XLSX。XLSX 先选择工作表；映射列、预览全部行并确认导入后，再打开记录核对。同步记录标为 同步数据 · 只读，本地记录按权限可编辑。

3. 准备员工并批准调查

在 员工与能力 中检查业务负责人、技能和依据资料，按需配置调查与复核员工的职责及资料范围。打开具体告警，点 交办此记录，在会话里写清目标、已知事实和禁止的动作，例如：

按时间列出登录事件事实，区分异常现象与入侵结论。每条结论注明材料依据；信息不足时列问题，不猜测。不得隔离主机、封禁账号或执行真实处置。

核对交办的员工、范围和原生确认卡，由本人批准后再执行。已保存的业务负责人不会自动收到任务。

4. 跟进、验收并做看板

回到告警详情的 对象相关任务 查看进度，也可在业务页的 业务任务进度 查看。执行结束后仍可能显示 待本人验收；先打开任务核对事实、未解决问题和成果。本人验收后，查看成果 会打开本人验收的那一版，后续修订不会悄悄替换它。

要汇总告警趋势，可在业务会话里提出看板需求，预览只读查询和组件后逐项确认。看板显示业务记录的汇总，不代表调查结论已获准执行处置。详细入口见业务与业务看板。

可选：在群里演练交接

以下群协作练习无需外部连接，可以和正式业务记录并行使用；群消息本身不会变成业务记录或已验收成果。

准备

完成模型连接，在同一业务或通用工作下创建 分析、调查、复核 三类员工，并加入同一个协作群。每位员工只需要本次材料；未授权外部工具时不要假设它能搜索或写入。

示例材料

模拟告警：主机 DEMO-01 在 09:20 出现 12 次登录失败，09:23 有一次成功。来源地址 192.0.2.20。没有资产重要性、用户值班和后续活动信息。

第一轮工作

将材料提供给群，先提及第一位员工：

按时间列事实，区分异常现象与入侵结论。每条保留材料依据；信息不足时列问题，不猜测。
不得隔离主机、封禁账号或执行任何真实处置。

需要正式跟踪时创建关联任务，检查负责人和范围，再在结果中核对事实是否完整。

交接与复核

你核对第一轮结果后，把确认内容交给第二位员工：

列需要补充的证据及只读调查步骤。只使用已确认材料，推断单独标注。

再交给复核员工：

核对每条结论的依据，给出待人工判断的建议。不要仅润色文字，指出原文与结论不一致的地方。

确认结果

预期交付包括事实清单、工作草案和复核意见。检查每份成果的负责人、资料来源、未解决事项与任务记录。

不得隔离主机、封禁账号或执行任何真实处置。如果未来接入真实工具，应另行核验范围、密钥或授权，以及审批要求；本练习不授予任何真实外部操作权限。

复用

满意的成果可点「保存为方法」或「保存为计划」，由你发送后保存；计划保持暂停，启用后才运行。只有重复输入来源和验收标准都明确后，再配置自动化；首次练习保留人工交接，避免把尚未验证的步骤连续自动执行。