performing-false-positive-reduction-in-siem - 在 SIEM 中执行误报削减
通过系统化规则微调、阈值调整、关联逻辑优化、白名单管理与威胁情报丰富化来削减 SIEM 误报。
标签
更新于: 2026-09-19能力
典型输入
典型输出
该技能可以做什么
- 识别最高频 SIEM 规则
- 微调检测告警阈值
- 管理白名单及排除项
- 增强多信号关联逻辑
- 应用基于时间的排除窗口
- 集成行为登录基线
- 使用威胁情报过滤告警
- 通过原子测试验证检测
输入
- SIEM 告警与日志数据
- 白名单查找表
- 威胁情报查找表
- Atomic Red Team 测试脚本
输出
- 微调后的 SIEM 关联规则
- 更新后的排除项查找表
- 验证测试执行结果
- 误报削减指标报告
要求
- 安装了必要依赖的 Python 3.8+
- SIEM 测试或实验环境访问权限
- 安全测试的适当授权