sentinel, Lab
场景 4 — 阶段三：调查响应与模型迭代
调查流程
- 用户行为时间线还原：完整还原用户近期操作时间线，跨数据源关联
- 异常点深度分析：每个异常点的上下文详情，与历史基线和同行群体的对比
- 资产 / 数据影响评估：涉及了哪些敏感数据，数据量 / 敏感级别 / 业务价值
- 排除合理行为：是否有正当业务原因，与主管确认是否为授权操作
- 定性结论：确认为威胁 → 启动应急响应，确认为误报 → 更新基线模型
响应处置
| 动作 | 说明 |
|---|---|
| 账号处置 | 确认被盗用：立即锁定 + 强制重置。确认恶意：暂停权限 + 法务介入。隐蔽监控：不打草惊蛇，持续取证 |
| 权限收敛 | 撤销非必要权限，临时提升审批等级，敏感操作增加二次认证 |
| 证据保全 | 终端取证镜像，操作日志完整导出，数据外发证据固定 |
| 升级通报 | 通知管理层和法务，涉及数据泄露需报告监管 |
模型持续迭代
| 步骤 | 说明 |
|---|---|
| 调查结论反馈 | TP / FP / TN / FN 结果标记 |
| 基线模型调整 | 权重调整 / 阈值微调 / 新维度 |
| 规则库更新 | 新检测规则 / 误报规则修订 |
| 效果验证 | A/B 测试 · 准确率 / 召回率 |
| 狩猎假设扩充 | 新攻击模式 → 新狩猎假设 |
模型效果指标
| 指标 | 当前值 | 目标值 |
|---|---|---|
| 准确率 Precision | 87% | > 90% |
| 召回率 Recall | 78% | > 90% |
| 误报率 FPR | 12% | < 5% |
| F1 Score | 82% | > 85% |