Security Operations

实时监控大屏

Realtime SOC Overview

实时监控大屏

集中监控告警趋势、处置压力、接入健康和模型运行状态。

检查中
-
0
0
0
0

系统健康度

综合 API、分析队列、模型服务与日志接入状态。

--

接入与监听

HTTP 入口与 Syslog 监听状态。

告警分布

按安全产品聚合全部 Case，辅助识别噪声来源。

处置情况

按全部 Case 的研判结论观察真实攻击、待复核与误报占比。

告警运营方法论

待处理队列

把大量原始告警整理成可解释、可排序、可持续复盘的工作队列，先聚合同一行为，再降低重复噪声，最后把决策依据交给研判人员。

核心原则 保留事实，压缩重复；降低噪声，不隐藏风险。
01

统一接入

保留原始告警与不可变证据，统一产品、规则、资产、时间和请求上下文。

02

行为聚合

用稳定行为指纹与相关时间窗把同一事件的多条告警关联到一个 Case。

03

风险分层

结合严重度、证据完整性、资产重要性和 SLA 排序，优先处理真正需要决策的项。

04

反馈复盘

把人工确认的误报边界沉淀为受治理记忆，持续校准后续降噪规则。

告警聚合：按行为而不是按条数

聚合的目标是减少重复研判，不是删除告警。以产品与规则身份为边界，结合目标应用、资产、HTTP 方法、URI 模板、进程、危险调用和时间窗口形成行为指纹。

  • 同一行为在相关窗口内重复出现：归入同一 Case，并保留每条原始告警。
  • 规则、路径、方法或危险调用出现明确冲突：拆分 Case，避免错误合并。
  • 来源 IP 或参数只有小幅变化：通常不改变行为边界，避免把一次攻击拆成许多条。

降噪：减少重复工作而不是降低警惕

降噪必须有范围、有证据、有回滚路径。只有经过人工确认、适用范围清晰且仍在有效期内的结论，才能参与后续匹配。

  • 先做结构化匹配，再参考语义相似度；身份冲突优先否决。
  • 攻击证据拥有否决权，模型或历史误报结论不能覆盖当前可核验事实。
  • 每次降噪都记录命中依据、影响范围、有效期和人工复核入口。

分析方法：从事件聚合到偏离度

每种方法只回答一个问题：聚类判断是否属于同一行为，时域观察强度与变化，频域识别节奏，偏离度量化新颖性，多视角关联补足上下文，最后由硬门控和人工复核决定队列去向。

A1

行为聚类：先定边界，再算相似

把同一行为的多条告警压缩为可追溯事件簇，不删除任何原始告警。

输入
租户、环境、产品、规则、应用、资产、方法、URI、进程和危险调用等稳定字段；来源 IP 与参数值作为可变字段。
计算逻辑
先按硬边界分桶，再在桶内计算加权字段距离、Jaccard 或 MinHash 相似度；规则、路径、执行结果或权限变化触发拆分。
可解释证据
簇 ID、代表告警、成员数、边界字段、拆分原因和每条原始证据引用。
队列动作
同簇新增只更新计数；出现新证据或硬冲突时生成新的研判任务。
A2

时域分析：看强度、突发与变化点

按实体与规则维护分时基线，识别强度、突发、持续异常和统计变化点。

输入
固定窗口的计数与速率、来源/目标基数，并按工作日、周末、发布窗口等业务时段分层的历史样本。
计算逻辑
用中位数与 MAD 计算稳健 Z 分数，用短/长窗口比识别突发，再用 EWMA 或 CUSUM 检测持续变化；连续多个窗口才算持续异常。
可解释证据
当前窗口、历史基线、稳健 Z 分数、突发比、变化点时间和持续窗口数。
队列动作
一次性尖峰进入观察；持续或高偏离提高队列优先级，重复观测不重复创建任务。
A3

频域分析：看节奏和周期漂移

把事件强度序列转换到频域，识别重复节奏、新周期与周期漂移。

输入
等间隔计数或强度序列，经过缺失处理和去趋势，并保留足够历史窗口作为基线。
计算逻辑
用 FFT、周期图或 STFT 提取主频；比较谱峰显著性、谱熵、周期和相位与历史 P99 的差异。
可解释证据
主周期、谱峰显著性、谱熵、周期/相位漂移，以及相对基线的变化量。
队列动作
新谱峰或谱熵上升进入复核；周期性本身不能证明良性或恶意。
A4

偏离度分析：把变化量化为可解释分

将统计变化、覆盖范围、新颖度和结果变化组合成可审计的排序分。

输入
时域稳健 Z、突发度、新规则/资产/载荷新颖度、来源/目标扩散、执行结果变化和资产重要性。
计算逻辑
按版本化权重计算 AnomalyScore = 时间偏离 + 突发 + 频谱变化 + 新颖度 + 范围变化 + 结果变化；硬危险信号独立旁路。
可解释证据
各分项分值、权重版本、阈值、触发的硬门控和缺失证据。
队列动作
分数只用于排序和路由，不等于攻击概率；高危信号直接升级，低置信度进入人工复核。
A5

相似度与多视角关联：不只按源 IP 合并

用结构与词法相似度召回候选，再用来源、目标、账号和跨产品关系补足上下文。

输入
归一化行为指纹、字段 token、实体关系、请求/会话 ID 和跨产品证据引用。
计算逻辑
对字符串使用受控距离，对集合使用 Jaccard/MinHash/SimHash，并分别观察来源→多目标、多来源→同目标、账号→多资产和跨产品时间链。
可解释证据
命中的字段、相似度、冲突字段、来源/目标基数、跨产品关系和证据血缘。
队列动作
相似度只负责召回候选；最终归组仍由结构化边界和冲突字段决定。
A6

决策融合：硬门控、分数排序与人工复核

先执行不可覆盖的安全门控，再按变化分排序，最后把不确定性明确交给研判人员。

输入
硬否决信号、聚类边界、时域/频域/偏离度结果、证据完整性、资产风险和 SLA。
计算逻辑
按硬否决 > 优先级分 > 置信度/有效期的顺序合并；可信执行、外传或关键资产信号可绕过分数直接升级。
可解释证据
决策路径、否决原因、分项分数、缺失证据、策略版本和人工复核入口。
队列动作
紧急信号立即通知；稳定低风险进入抽检和到期复核；冲突或低置信度保持待处理。

研判与处置

完成研判、处置与审批；详细信息按需在独立页面中查看。

从告警处置队列选择一条 Case，开始告警研判与响应。

0
0
0
0
0

记忆清单

检索全部层级与生命周期状态。

治理详情

核验证据、适用范围、期限和审计轨迹。

从左侧选择一条记忆开始治理。

记忆治理 / 关联告警

关联告警清单

-
0 关联记录

匹配记录

由统一 matcher 保存的候选评分与最终影响。

0
0
0
0
0
0

执行任务

跟踪审批后的调度、设备核验、到期解封和回滚结果。

模型服务

切换本地分析器、Ollama 或 OpenAI 兼容 Gateway。

告警接入通道

HTTP 接口继续保留，新增可选 TCP/UDP syslog collector 通道。

现有 HTTP 告警入口

适合已能主动调用接口的系统、脚本和联调工具。

协议
HTTP JSON
入口
POST /api/alerts
鉴权
沿用网关 Bearer Token 策略
状态
保留

新增 Syslog 通道

支持 TCP/UDP；长报文推荐 TCP，避免 UDP 分片后截断或丢包。

协议
Syslog TCP/UDP
入口
syslog-collector:<产品端口>/<协议>
转发
POST /api/alerts
状态
规划新增

Syslog 产品接收配置

为每类安全系统配置接收端口和协议；syslog 报文非常长时推荐 TCP，已作为默认项。

安全系统 服务区 IP:产品端口/协议 Vector 网关 HTTP 告警入口
安全系统侧配置

目的地址填写服务区暴露的 syslog collector IP，端口和协议使用对应产品配置。

字段处理策略

collector 优先解析 syslog message 中的 JSON；未匹配 profile 时按 SIEM 标准告警兜底。

k3s 部署对象

deploy/k3s/syslog-collector-vector.yaml

Syslog 接入部署

集中维护安全设备的发送目标与来源网段。

Collector 接入身份 Kubernetes Secret

API 认证

新 Token

此 Token 仅显示一次，页面已脱敏。

记录人工复核

请记录已核对的原始日志、证据引用和未采纳外部文本的原因（至少 8 个字符）。