sentinel, Lab
场景 3 — 阶段二：告警降噪与规则优化
降噪策略
| 策略 | 说明 |
|---|---|
| 白名单精细化 | 已知合法进程 / 脚本 / 工具白名单，运维自动化脚本排除 |
| 上下文关联增强 | 单条件 → 多条件 AND 规则，减少单维度匹配的误报 |
| 阈值动态调整 | 基于历史基线动态设置阈值，工作日 / 非工作日区分 |
| 重复告警聚合 | 同源同目标告警时间窗口合并，5 分钟内相同类型聚合为 1 条 |
| 低价值告警降级 | 纯扫描 / 探测行为降为低优先级，不进入分析师工作队列 |
降噪效果对比
| 指标 | 降噪前 | 降噪后 |
|---|---|---|
| 日均告警 | 100K | 8K |
| 真实威胁占比 | 5% | 55% |
| MTTD 平均检测 | 4h | 15min |
降噪 92% · 信噪比提升 11 倍 · MTTD 下降 93%
规则优化实例
优化前（误报率 92%）：
清洗技术栈
| 层级 | 技术 | 说明 |
|---|---|---|
| 1 | IP 信誉过滤 | 已知僵尸网络 / 代理 IP 黑名单 |
| 2 | 协议合规校验 | TCP 状态机 / 包头合法性检查 |
| 3 | 行为分析 | 访问频率 / 请求模式 / 会话特征 |
| 4 | 挑战验证 (JS / CAPTCHA) | 对可疑流量发起浏览器验证 |
清洗方式选择
| 方式 | 适用场景 |
|---|---|
| BGP 引流 | 运营商级别引流，适合大带宽攻击 (>50G) |
| DNS 切换 | 域名解析切换到清洗 IP，适合 Web 类业务 |
| 本地清洗设备 | Anti-DDoS 设备部署在出口，适合中小规模攻击 |
| 云清洗服务 | Always-On 或 On-Demand 模式，弹性扩展至 Tbps 级 |
清洗难点与精度保障
| 挑战 | 说明 |
|---|---|
| CC 攻击清洗 | 应用层攻击模拟正常用户，需 JS 挑战 + 行为分析组合 |
| 误杀控制 | 清洗策略过严导致正常用户被拦，需持续监控误杀率 |
| 混合攻击应对 | 多层清洗策略组合，流量型 → 协议型 → 应用层逐级过滤 |
目标：清洗率 > 99.9% · 误杀率 < 0.01% · 延迟增加 < 10ms