---
title: SOC：从告警到已验成果
description: 在自建安全运营业务中跟进告警、交办调查并验收成果。
lastVerified: 2026-10-18
---

# 4.3 SOC：从告警到已验成果

用本地记录或表格中的**虚构告警**练习自建 SOC 业务，无需安装市场资源。读取外部告警须接通有权限的只读连接；采用市场模板或看板时，先核对详情页的使用条件。

接入真实 SIEM/EDR 前，须核对连接、数据映射、权限与模型输出。练习不会自动封禁或隔离；示例告警和演示结果不能用于判断真实环境。

## 1. 搭建并保存业务

在 **业务 > 新建业务** 打开的会话里说明：「我要跟进安全告警，记录来源、时间、资产、发现和复核状态，并看告警趋势。」查看生成的记录页与看板草案，按需要修改，然后点 **保存业务**、**打开业务**。保存本身不会同步告警或启动员工工作。

## 2. 把告警变成记录

有受管只读告警连接时，在业务页的 **外部数据来源（例如告警）** 按提示进入 **连接目录** 接通，再用 **调整业务** 声明来源和字段、预览试拉并确认映射。到 **数据同步** 点 **立即同步** 后，打开告警记录核对内容。周期同步初始暂停，需本人按规则启用；连接成功不等于记录已同步。

没有外部连接也可在告警记录页点 **新增记录**，或用 **导入表格** 读取 CSV/XLSX。XLSX 先选择工作表；映射列、预览全部行并确认导入后，再打开记录核对。同步记录标为 **同步数据 · 只读**，本地记录按权限可编辑。

## 3. 准备员工并批准调查

在 **员工与能力** 中检查业务负责人、技能和依据资料，按需配置调查与复核员工的职责及资料范围。打开具体告警，点 **交办此记录**，在会话里写清目标、已知事实和禁止的动作，例如：

```text
按时间列出登录事件事实，区分异常现象与入侵结论。每条结论注明材料依据；信息不足时列问题，不猜测。不得隔离主机、封禁账号或执行真实处置。
```

核对交办的员工、范围和原生确认卡，由本人批准后再执行。已保存的业务负责人不会自动收到任务。

## 4. 跟进、验收并做看板

回到告警详情的 **对象相关任务** 查看进度，也可在业务页的 **业务任务进度** 查看。执行结束后仍可能显示 **待本人验收**；先打开任务核对事实、未解决问题和成果。本人验收后，**查看成果** 会打开本人验收的那一版，后续修订不会悄悄替换它。

要汇总告警趋势，可在业务会话里提出看板需求，预览只读查询和组件后逐项确认。看板显示业务记录的汇总，不代表调查结论已获准执行处置。详细入口见[业务与业务看板](https://docs.teloa.ai/v/0.2.31/markdown/guides/business.md)。

## 可选：在群里演练交接

以下群协作练习无需外部连接，可以和正式业务记录并行使用；群消息本身不会变成业务记录或已验收成果。

### 准备

完成模型连接，在同一业务或通用工作下创建 分析、调查、复核 三类员工，并加入同一个协作群。每位员工只需要本次材料；未授权外部工具时不要假设它能搜索或写入。

### 示例材料

```text
模拟告警：主机 DEMO-01 在 09:20 出现 12 次登录失败，09:23 有一次成功。来源地址 192.0.2.20。没有资产重要性、用户值班和后续活动信息。
```

### 第一轮工作

将材料提供给群，先提及第一位员工：

```text
按时间列事实，区分异常现象与入侵结论。每条保留材料依据；信息不足时列问题，不猜测。
不得隔离主机、封禁账号或执行任何真实处置。
```

需要正式跟踪时创建关联任务，检查负责人和范围，再在结果中核对事实是否完整。

### 交接与复核

你核对第一轮结果后，把确认内容交给第二位员工：

```text
列需要补充的证据及只读调查步骤。只使用已确认材料，推断单独标注。
```

再交给复核员工：

```text
核对每条结论的依据，给出待人工判断的建议。不要仅润色文字，指出原文与结论不一致的地方。
```

### 确认结果

预期交付包括事实清单、工作草案和复核意见。检查每份成果的负责人、资料来源、未解决事项与任务记录。

不得隔离主机、封禁账号或执行任何真实处置。如果未来接入真实工具，应另行核验范围、密钥或授权，以及审批要求；本练习不授予任何真实外部操作权限。

### 复用

满意的成果可点「保存为方法」或「保存为计划」，由你发送后保存；计划保持暂停，启用后才运行。只有重复输入来源和验收标准都明确后，再配置自动化；首次练习保留人工交接，避免把尚未验证的步骤连续自动执行。