演练后复盘
sentinel, Lab
v3.0
STABLE
攻防演练
HW
红蓝对抗
协同作战
复盘
场景 4 — 阶段三：演练后复盘
复盘内容
- 攻击链完整还原：与裁判 / 红队对齐攻击时间线
- 失分点分析：哪些攻击未被发现？为什么？哪些告警被错过？
- 检测有效性评估：哪些安全设备有效检出了攻击？
- 响应效率评估：MTTD / MTTA / MTTR 各环节耗时
- 防护体系差距：与成熟防守方的差距
核心指标
| 指标 |
数值 |
| 成功发现攻击 |
23 |
| 被突破得分 |
5 |
| 平均 MTTD |
8min |
| 平均 MTTR |
18min |
| 检出率 |
82% |
| 封堵成功率 |
95% |
未检出原因分析
| 原因 |
说明 |
| 0day 无签名 |
依赖行为检测能力不足 |
| 社工攻击盲区 |
邮件网关未覆盖钓鱼内容 |
| 告警淹没 |
高价值告警被噪声掩盖 |
能力提升计划
| 时间 |
改进项 |
| 1 周（紧急） |
修复漏洞 / 补充规则 / 修日志 |
| 1 月（短期） |
告警降噪 / 钓鱼检测 / UEBA |
| 1 季度（中期） |
SOAR 编排 / ATT&CK 覆盖 / 情报 |
| 半年+（长期） |
零信任 / 人才梯队 / 常态化演练 |
关键经验
- 备战充分是基础：暴露面收敛和漏洞修复减少了 80% 的攻击入口
- 标准化流程是关键：标准化研判和处置流程，确保不遗漏关键告警
- 情报共享提效率：IOC 快速共享到全设备，一处发现，全网封堵
- 降噪是前提条件：告警降噪后研判效率提升 5 倍
- 团队协作是保障：指挥 / 监控 / 分析 / 处置明确分工
![]()
100%