IT 环境与日志源分析
责任角色安全架构师 + 客户 IT 负责人
阶段目标
在实施前摸清攻击面、遥测覆盖与采集约束。
专家动作
梳理业务系统、身份、网络分区、云账号与现有安全控制，形成优先级日志源清单。
关键产出
- 资产—日志源矩阵
- 覆盖缺口分析
- 数据归属地图
客户结果
范围可辩护，盲区已知，接入顺序清晰。
验收标准
日志清单责任归属确认，关键覆盖缺口完成优先级排序。
06
可验收阶段
18+
明确交付物
01
持续运营闭环
日志源接入与归一化
责任角色数据工程师 + 平台负责人阶段目标
把原始事件变成可靠、可检索的安全遥测。
专家动作
配置采集路径，校验事件完整性，字段归一化，并补充资产与身份 enrichment。
关键产出
- 接入 Runbook
- 归一化 Schema
- 解析与健康检查
客户结果
分析师可信任的数据底座，支撑关联与取证。
验收标准
采集健康度、解析准确率和关键检索字段达到双方约定。
Use Case 定制
责任角色检测工程师 + 风险负责人阶段目标
把优先威胁转化为带假设与响应意图的检测。
专家动作
对照 ATT&CK 建模，定义检测逻辑与严重级别，按风险与可行性排序。
关键产出
- Use Case 清单
- ATT&CK 覆盖图
- 检测规格说明
客户结果
与业务风险对齐的可度量检测路线图。
验收标准
威胁假设、严重级别、测试数据与预期响应完成评审。
RunBook 定制
责任角色事件响应负责人 + 业务审批人阶段目标
让每条告警都有一致的决策与升级路径。
专家动作
设计分诊、调查、遏制、归属与跨团队交接，明确证据要求。
关键产出
- 响应 Runbook
- 升级矩阵
- 证据清单
客户结果
可重复的响应流程，缩短 MTTR 且不失控。
验收标准
决策点、联络人、证据要求与审批边界完成演练。
检测验证与调优
责任角色检测工程师 + SOC 负责人阶段目标
上线前证明检测在真实环境中可用。
专家动作
场景回放、噪音评估、阈值调优，并固化验收证据。
关键产出
- 验证报告
- 误报调优记录
- 上线检查表
客户结果
既灵敏又可运营的检测能力。
验收标准
场景回放达到约定的准确率、噪音率与检测时延。
服务验收与持续优化
责任角色服务经理 + 客户项目责任人阶段目标
交付可运营 SOC，并持续改进覆盖与流程。
专家动作
完成验收标准、操作培训，建立 Use Case / Runbook 迭代节奏。
关键产出
- 验收包
- 运营手册
- 优化 backlog
客户结果
可持续演进的 SOC 能力，而非一次性项目。
验收标准
验收包签署，运营节奏、优化责任人与复盘机制明确。