soc-alert-triage

SOC告警分诊网络安全专家小组。

概述

soc-alert-triage 是一个完整的小组，涵盖整个安全告警分诊流水线：

1. 告警分类 — 从多个来源（SIEM、IDS、EDR、云）按类型、严重性和MITRE ATT&CK映射进行自动化分类
2. 误报过滤 — 使用历史模式、行为基线和上下文白名单识别和过滤误报
3. 威胁优先级排序 — 基于可利用性、爆炸半径、资产关键性和业务影响的风险评分
4. 威胁情报丰富 — IOC、完整MITRE ATT&CK映射、信誉评分和历史关联
5. 简报生成 — 包含时间线、推荐剧本、IOC和优先响应操作的可操作文档

痛点： SOC分析师每天面临4000+告警，80%以上为误报——导致告警疲劳、倦怠和错过真实威胁的风险。

代理

工作流

可用命令

快速开始

# 激活优先级排序器（主编排器）
/sat:agents:threat-prioritizer

# 完整告警分诊流水线
*triage-full

# 快速分类
*rapid-classify

# 仅告警分类
*classify-alerts

# 仅生成简报
*generate-brief

目标用户

• SOC分析师（L1、L2、L3）
• 安全工程师
• 威胁猎人
• CISO和安全负责人
• 事件响应团队

要求

• 访问SIEM（Splunk、QRadar、Sentinel、Elastic SIEM）
• 访问威胁情报源（VirusTotal、AbuseIPDB、MISP）
• 访问EDR工具（CrowdStrike、SentinelOne、Defender）
• MITRE ATT&CK框架作为分类参考