演练中实战作战
sentinel, Lab
v3.0
STABLE
攻防演练
HW
红蓝对抗
协同作战
复盘
场景 3 — 阶段二：演练中实战
标准化作战流程
- 实时监控：监控组 7×24 轮值，SIEM / IDS / WAF / EDR 联动监控
- 告警初筛（5min）：排除已知误报 / 低风险告警，可疑告警提交分析组
- 深度研判（15min）：分析组确认是否为真实攻击，评估攻击阶段和影响范围
- 攻击确认：确认为攻击 → 上报指挥组，保留证据 / 记录攻击时间线
- 应急处置：处置组执行封堵方案，IP 封禁 / 主机隔离 / 账号锁定
告警研判决策树
| 级别 |
状态 |
动作 |
| P0 确认攻击 |
已有失陷 / Webshell |
立即处置 + 上报指挥组 |
| P1 高度可疑 |
攻击成功但未确认失陷 |
深度分析 + 准备处置方案 |
| P2 攻击尝试 |
已被拦截 / 未成功 |
持续监控 + 记录 IOC |
| P3 可疑行为 |
需要更多信息确认 |
关联分析 + 排期调查 |
| 排除 |
误报 / 已知行为 |
标记关闭 + 反馈规则优化 |
作战沟通与协调
- 作战群实时同步：每条 P0 / P1 告警实时通报到群
- 整点态势通报：每小时汇总告警数 / 处置数 / 在途
- 交接班制度：详细的交接班记录，在途事件 / 待确认告警
- IOC 快速共享：发现新 IOC 立即同步全员，自动推送安全设备
SLA 目标
| 指标 |
目标 |
| P0 处置时间 |
< 5min |
| P1 研判时间 |
< 15min |
| P2 响应时间 |
< 30min |
| 初筛准确率 |
> 90% |
| 封堵成功率 |
100% |
![]()
100%