triaging-security-alerts-in-splunk - 在 Splunk 中分流安全警报
使用 SPL 查询在 Splunk 企业安全版中对安全警报进行分类和分流
标签
更新于: 2026-05-09能力
典型输入
典型输出
该技能可以做什么
- 访问事件审查仪表板
- 按紧急程度排序事件
- 筛选未分配事件
- 调查事件上下文
- 跨数据源关联
- 查询威胁情报
- 分类警报严重程度
- 更新事件状态
- 记录分流结果
- 跟踪分流指标
输入
- Splunk 企业安全版实例
- CIM 标准化数据源
- 重要事件
- 资产查找表
- 身份查找表
- 威胁情报源
输出
- 分流报告
- 事件状态更新
- 升级工单
- 分流指标
- 处置分类
要求
- Splunk 企业安全版 7.x+
- ess_analyst 权限
- SPL 熟练度
- 事件审查仪表板