# 🛡️ NDR 告警分析与响应操作指引

**目的：** 指导分析师对 NDR Case 进行研判、调查与处置.请按照以下步骤逐一确认.

---

## 1. 🤖 AI 智能分析复核 (Agent Review)

*系统已自动生成初步分析,请优先验证其准确性.*

- [ ] **验证严重性 (Severity):**
    * 系统建议的严重性(如 Critical/High)是否符合直觉？
    * *检查点：* 如果系统标记为“High”,是否确认存在内网横向移动或数据渗漏迹象？
- [ ] **验证攻击阶段 (Attack Stage):**
    * 系统判定的 MITRE ATT&CK 阶段是否准确？
- [ ] **阅读分析理由 (Rationale):**
    * 阅读 Agent 生成的 `analysis_rationale` 字段.逻辑是否通顺？是否忽略了关键上下文(如业务白名单)？

---

## 2. 🔍 误报排除与初步研判 (Triage)

*在深入调查前,先快速排除明显的误报.*

### 2.1 流量特征核查

- [ ] **检查通信方向:**
    * 外部 -> 内部 (扫描/攻击尝试?)
    * 内部 -> 外部 (C2/下载/渗漏?)
    * 内部 -> 内部 (横向移动/扩散?)
- [ ] **检查业务背景:**
    * 源/目的 IP 是否为已知的扫描器、补丁服务器或监控服务器？
    * 发生时间是否在定期的备份或维护窗口内？
    * 流量大小是否符合该业务的正常基线？

### 2.2 载荷 (Payload) 确认 (如可用)

- [ ] **查看 PCAP/Flow 详情:**
    * 是否存在明文攻击特征(如 SQL注入语句, WebShell 关键字)？
    * 如果是加密流量 (SSL/TLS),JA3 指纹或证书是否异常？

---

## 3. 🕵️‍♂️ 深度调查与关联 (Investigation)

*针对确认为“可疑”的 Case,进行深度挖掘.*

### 3.1 Artifact (IoC) 扩展查询

- [ ] **IP/域名信誉:** 在威胁情报平台查询涉及的公网 IP/域名.
- [ ] **关联分析:**
    * 该 Case 中的 Artifacts (IP/Hash) 是否在其他历史 Case 中出现过？
    * 受害主机近期是否有其他异常告警(如 EDR 告警)？

### 3.2 攻击链完整性检查

*检查 Case 内的所有 Alerts,判断攻击进展.*

- [ ] **入站:** 是否有成功的漏洞利用 (Exploit) 告警？
- [ ] **驻留:** 是否有定期的 C2 心跳回连？
- [ ] **扩散:** 是否有 SMB/RDP 暴力破解或 PsExec 行为？
- [ ] **后果:** 是否有异常的大文件传输或数据库读取？

---

## 4. 🛡️ 遏制与响应行动 (Containment & Response)

*根据确认的风险等级执行操作.*

### 🟢 低风险 / 误报

- [ ] **标记误报:** 在系统中将 Case 关闭,并标记为 False Positive.
- [ ] **优化建议:** 是否需要调整检测规则或添加白名单？

### 🟠 中风险 (可疑但未确认成功)

- [ ] **主动阻断:** 在防火墙/NDR 上封禁攻击源 IP.
- [ ] **持续观察:** 保持 Case 开启,监控受害主机后续 24 小时流量.

### 🔴 高/危急风险 (确认成功入侵)

- [ ] **隔离主机:** 立即将受感染主机下线或隔离网络.
- [ ] **阻断通信:** 双向阻断 C2 通信 IP/域名.
- [ ] **凭证重置:** 强制重置涉事账号密码(AD域/VPN/应用).
- [ ] **启动应急预案:** 呼叫 CSIRT 或 二线团队介入.

---

## 5. 📝 反馈与模型优化 (Feedback)

*此步骤对提升 Agent 准确率至关重要.*

- [ ] **严重性修正:**
    * 如果人工评估的严重性与 AI 不符,请在 Case 字段中更新为正确值.
- [ ] **分类打标:**
    * 准确选择 Case 分类(如：`Malware`, `Phishing`, `Lateral Movement`).
- [ ] **备注说明:**
    * 如果判定 AI 分析错误,请简要备注原因(例如：“业务正常扫描,非攻击”),以便后续训练优化.