sentinel, Lab
技战法概述
中等规模企业日均告警量达数万至数十万条，真正代表真实威胁的高价值告警通常低于 5%。告警疲劳（Alert Fatigue）是安全运营团队面临的核心挑战。
MITRE ATT&CK 框架提供了一套系统化的威胁行为分类体系，将攻击者的战术（Tactics）和技术（Techniques）进行标准化定义和映射。
三阶段技战法
| 阶段 | 名称 | 关键目标 |
|---|---|---|
| 阶段一 | 告警映射与分类 | 将告警映射到 ATT&CK 技术矩阵 |
| 阶段二 | 告警降噪与规则优化 | 减少低价值告警，提升信噪比 |
| 阶段三 | 优先级排序与自动化编排 | 基于战术链排序，SOAR 自动化分诊 |
告警噪声分布
| 类型 | 占比 |
|---|---|
| 真实威胁 | 5% |
| 重复告警 | 10% |
| 低风险已知行为 | 30% |
| 规则过于宽泛 | 25% |
| 环境噪声 / 误报 | 30% |
告警疲劳影响
| 维度 | 影响 |
|---|---|
| 分析师注意力 | 严重下降 |
| MTTD 检测时间 | 大幅上升 |
| 漏报风险 | 显著增加 |
| 人员流失率 | 持续走高 |