# EFF-Monitoring 2.0.1 操作手册

本文档用于说明 EFF-Monitoring 2.0.1 的详细功能、推荐使用流程、角色权限和安全运营最佳实践。

如果只想了解平台亮点和快速启动，请先阅读：[README.md](./README.md)

## 1. 平台使用思路

EFF-Monitoring 2.0.1 的核心不是单独完成“日志解析”或“AI 问答”，而是把安全运营中的分散信息统一到同一条工作链路里。

### 1.1 信息统一化管理

平台统一管理日志、资产、告警、规则、模板、消息、IP 名单、威胁情报、AI 研判、STE 经验和审计记录。

- 日志信息通过规则中心解析为统一字段。
- 资产信息通过资产中心维护 IP、域名、网段、负责人、区域、重要性和指纹。
- 处置信息通过告警工作台统一管理状态、所属组、认领人、处置动作和闭环原因。
- 通知信息通过消息中心推送到对应成员。
- 输出信息通过消息模板、Excel 模板、CSV 模板和 Webhook 复用同一套字段。
- 复盘信息通过 AI 中心沉淀为 STE 经验，用于后续 AI 研判和 Agent 对话。

### 1.2 内置 Agent

AI 中心内置平台 Agent，可以查询平台内非敏感信息。v2.0.1 按“任务建模、证据需求、工具规划、工具执行、证据覆盖检查、结构化反思、定向补查、生成回答”的链路工作，并在前端展示执行过程、证据包和原始工具调用数据。

Agent 只开放只读查询与本地分析计算能力，不开放加黑、加白、改状态、派单、删除等写操作能力，也不会读取密码、Cookie、Token、API Key 等敏感信息。它适合处理资产归属、告警溯源、运营统计、分组聚合、趋势、TopN、耗时分析和相似经验检索等问题。

## 2. 使用前准备

### 2.1 登录系统

Docker 初始化后默认管理员账号为：

```text
admin / admin123
```

生产环境建议第一时间完成：

- 修改 `.env` 中的 `JWT_SECRET`。
- 修改默认管理员密码。
- 配置正式数据库连接。
- 配置 AI、威胁情报和 Webhook。
- 创建真实团队账号，并停用不需要的演示账号。

### 2.2 初始配置顺序

推荐按以下顺序初始化平台：

1. 进入 `系统管理`，配置用户、项目和设备。
2. 进入 `资产中心`，维护或导入企业资产与网段资产。
3. 进入 `规则中心`，确认元规则和设备规则。
4. 进入 `模板中心`，配置消息模板、Excel 模板和 CSV 模板。
5. 进入 `IP 名单`，维护白名单和黑名单。
6. 进入 `系统设置`，配置 AI、威胁情报和 Webhook。
7. 使用 `日志解析` 进行样例日志测试。
8. 保存告警到 `告警工作台`，验证协作闭环流程。

## 3. 权限矩阵

| 模块名称 | 功能点 | 管理员 (admin) | 监测组 (monitor) | 研判组 (analyst) | 处置组 (disposer) | 只读人员 (viewer) |
| :--- | :--- | :---: | :---: | :---: | :---: | :---: |
| **运营总览** | 查看统计指标、趋势图、最近告警 | ✅ | ✅ | ✅ | ✅ | ✅ |
| | 查看运营统计报表 | ✅ | ✅ | ✅ | ✅ | ✅ |
| **日志解析** | 粘贴日志解析、手动修正结果 | ✅ | ✅ | ✅ | ✅ | ✅ |
| | 复制消息格式、Excel 格式 | ✅ | ✅ | ✅ | ✅ | ✅ |
| | 发送 Webhook 通报 | ✅ | ✅ | ✅ | ✅ | ❌ |
| | 保存解析结果到告警工作台 | ✅ | ✅ | ✅ | ✅ | ❌ |
| **告警工作台** | 列表查看、Hash 搜索、详情查看、变更历史 | ✅ | ✅ | ✅ | ✅ | ✅ |
| | 修改告警基础信息、标签、备注 | ✅ | ✅ | ✅ | ✅ | ❌ |
| | 认领 / 释放当前组告警 | ✅ | ❌ | 条件 | 条件 | ❌ |
| | 状态流转 | ✅ | 条件 | 条件 | 条件 | ❌ |
| | 强制解锁、重新指派、删除告警 | ✅ | ❌ | ❌ | ❌ | ❌ |
| | 执行 AI 研判、STE 经验提取、查询威胁情报 | ✅ | ✅ | ✅ | ✅ | ❌ |
| | 发送告警 Webhook | ✅ | ✅ | ✅ | ✅ | ❌ |
| | 导出筛选结果为 CSV | ✅ | ✅ | ✅ | ✅ | ✅ |
| **AI 中心** | 查看提示词、经验库、对话记录 | ✅ | ✅ | ✅ | ✅ | ✅ |
| | AI 对话中心提问与平台查询 | ✅ | ✅ | ✅ | ✅ | ❌ |
| | 管理 AI 研判提示词 | ✅ | ❌ | ❌ | ❌ | ❌ |
| | 生成 / 编辑 STE 经验 | ✅ | ❌ | ✅ | ✅ | ❌ |
| | 发布 STE 经验 | ✅ | ❌ | ✅ | ❌ | ❌ |
| | 删除 STE 经验 | ✅ | ❌ | ❌ | ❌ | ❌ |
| **资产中心** | 查看、搜索、查询、导出资产 | ✅ | ✅ | ✅ | ✅ | ✅ |
| | 新增、编辑、删除、导入资产 | ✅ | ❌ | ❌ | ❌ | ❌ |
| | 查看、搜索、导出网段资产 | ✅ | ✅ | ✅ | ✅ | ✅ |
| | 新增、编辑、删除、导入网段资产 | ✅ | ❌ | ❌ | ❌ | ❌ |
| **消息中心** | 查看、标记已读本人消息 | ✅ | ✅ | ✅ | ✅ | ✅ |
| | 查看全部消息、删除消息 | ✅ | ❌ | ❌ | ❌ | ❌ |
| | 未读红点提醒 | 仅本人未读 | 仅本人未读 | 仅本人未读 | 仅本人未读 | 仅本人未读 |
| **规则中心** | 查看业务规则、系统内置规则、元规则 | ✅ | ✅ | ✅ | ✅ | ✅ |
| | 使用正则测试工具 | ✅ | ✅ | ✅ | ✅ | ✅ |
| | 新增、编辑、删除自定义规则 | ✅ | ❌ | ❌ | ❌ | ❌ |
| | 调优元规则（仅限正则与设备） | ✅ | ❌ | ❌ | ❌ | ❌ |
| | 使用规则生成工具 | ✅ | ❌ | ❌ | ❌ | ❌ |
| **模板中心** | 列表查看、预览模板内容 | ✅ | ✅ | ✅ | ✅ | ✅ |
| | 使用构建器新增、编辑、删除模板 | ✅ | ❌ | ❌ | ❌ | ❌ |
| | 使用 AI 生成消息模板 | ✅ | ✅ | ✅ | ✅ | ❌ |
| **IP 名单** | 列表查看、条目计数、导出 TXT | ✅ | ✅ | ✅ | ✅ | ✅ |
| | 进行 IP 范围检测 | ✅ | ✅ | ✅ | ✅ | ✅ |
| | 修改并保存黑白名单内容 | ✅ | ✅ | ✅ | ✅ | ❌ |
| **系统设置** | 全员配置（AI/TI/Webhook 全局参数） | ✅ | ❌ | ❌ | ❌ | ❌ |
| | 帐号配置（个人私有参数覆盖） | ✅ | ✅ | ✅ | ✅ | ✅ |
| | AI 连通性测试 / 获取模型列表 | ✅ | ✅ | ✅ | ✅ | ❌ |
| **系统管理** | 查看用户、项目、设备基础信息 | ✅ | ✅ | ✅ | ✅ | ✅ |
| | 新增、编辑、删除用户 / 项目 / 设备 | ✅ | ❌ | ❌ | ❌ | ❌ |
| | 查看审计日志、后台任务记录 | ✅ | ❌ | ❌ | ❌ | ❌ |
| | 导入配置文件 | ✅ | ❌ | ❌ | ❌ | ❌ |
| | 导入历史告警 | ✅ | ✅ | ✅ | ✅ | ❌ |

状态流转条件说明：

- 监测组：只能忽略自己刚同步、仍处于研判组且未认领的告警。
- 研判组：需要先认领研判组告警，可流转为 `误报`、`忽略` 或 `处置中`。
- 处置组：需要先认领处置组告警，可流转为 `研判中`、`误报`、`忽略` 或 `已处置`。
- 管理员：可强制解锁、重新指派和处理异常协作状态。

## 4. 标准业务流程

### 4.1 日志解析到告警入库

1. 进入 `日志解析`。
2. 选择项目、设备、消息模板和 Excel 模板。
3. 粘贴原始日志。
4. 点击解析。
5. 查看解析字段、资产命中和 IP 名单命中。
6. 如有误差，可手动修正字段并重新渲染模板输出。
7. 确认后保存到告警工作台。

保存后平台会：

- 生成展示用告警 ID。
- 生成唯一 `alert_hash`。
- 执行重复告警限制。
- 注入源资产 / 目的资产上下文。
- 初始状态设置为 `研判中`。
- 当前组设置为 `研判组`。
- 通知研判组成员。

### 4.2 告警研判流程

研判组收到消息后：

1. 从 `消息中心` 或 `告警工作台` 打开告警详情。
2. 点击认领。
3. 查看原始日志、解析字段、资产上下文、名单命中、威胁情报和 AI 研判。
4. 判断告警结果：
   - 明确误报：流转为 `误报`。
   - 无需处理：流转为 `忽略`。
   - 需要处置：流转为 `处置中`。
5. 转处置时必须选择：
   - 处置对象：源 IP 或目的 IP。
   - 处置动作：修复、应急或封禁。

如果选择封禁，平台会把对应 IP 写入黑名单。

### 4.3 告警处置流程

处置组收到消息后：

1. 打开告警详情。
2. 点击认领。
3. 根据处置对象和动作执行处置。
4. 选择最终结果：
   - `已处置`：确认完成处置。
   - `忽略`：无需进一步处理。
   - `误报`：处置组纠正为误报。
   - `研判中`：退回研判组复核。

处置组将告警纠正为误报时，必须填写误报原因。平台会通知此前的研判人员，形成运营反馈闭环。

### 4.4 闭环后经验沉淀

告警进入 `误报`、`忽略` 或 `已处置` 后视为闭环。

闭环告警可在详情中提取 STE 经验。经验会包含：

- 告警基础信息。
- 告警 Hash。
- 状态与闭环动作。
- 误报原因。
- 研判负责人和处置负责人。
- 原始日志。
- 解析字段。
- 资产上下文。
- 威胁情报结果。
- AI 研判结果。
- 状态流转历史。

生成后的经验可进入 AI 中心经验库，用于后续同类告警的辅助研判。v2.0.1 中经验状态包括 `draft`、`pending_generation`、`pending_publish`、`published` 和 `archived`。管理员和研判组可以直接发布；处置组生成后如申请发布，会先进入待发布状态，需管理员或研判负责人复核。

## 5. 功能详细说明

### 5.1 运营总览

运营总览用于查看平台整体运行情况。

主要能力：

- 按时间范围查看告警统计。
- 查看告警增长趋势。
- 查看状态分布。
- 查看平均处置耗时。
- 查看最近告警。

最佳实践：

- 日常值守建议默认查看今天或近 7 天。
- 攻防演练期间建议按小时或按天观察告警增长。
- 平均处置耗时只应统计已闭环告警，避免未完成告警污染指标。

### 5.2 日志解析

日志解析是平台入口。

主要能力：

- 选择项目、设备和模板。
- 粘贴原始日志。
- 自动提取源 IP、目的 IP、端口、事件名称、规则 ID、攻击结果、请求内容、响应内容等字段。
- 自动关联资产。
- 自动检测 IP 黑白名单。
- 生成消息模板和 Excel 行。
- 保存为告警。

注意事项：

- 设备专用规则优先于通用规则。
- 资产上下文和 IP 名单命中是两个独立概念，不应混为一类风险。
- 解析结果如需人工修正，应在保存告警前完成。
- 重复解析结果不能重复保存到告警工作台。

### 5.3 告警工作台

告警工作台是核心协作页面。

主要能力：

- 按关键词、Hash、状态、项目、负责人、时间范围筛选。
- 查看告警详情。
- 查看资产上下文。
- 查看威胁情报和 AI 研判。
- 查看状态流转历史。
- 认领 / 释放告警。
- 状态流转。
- 批量操作。
- 导出 CSV。

状态说明：

| 状态 | 所属组 | 说明 |
| :--- | :--- | :--- |
| 研判中 | 研判组 | 等待研判或正在研判 |
| 处置中 | 处置组 | 需要执行处置动作 |
| 误报 | 无 | 已闭环，确认为误报 |
| 忽略 | 无 | 已闭环，无需处置 |
| 已处置 | 无 | 已闭环，处置完成 |

协作注意事项：

- 研判组和处置组需要先认领再编辑。
- 已认领告警其他人不能编辑，避免多人协作冲突。
- 管理员可以强制释放或重新指派。
- 已闭环告警一般不再继续流转，管理员可处理异常回退。

### 5.4 AI 中心

AI 中心分为对话中心、经验库和提示词管理，是 Agent 查询、AI 研判和经验复用能力的入口。v2.0.1 重点增强了 Agent 的证据覆盖、统计分析和反思修复能力。

#### 提示词管理

管理员可以维护以下提示词：

- `alert_analysis`：只用于告警研判文本或结构化结果生成。
- `ste_extract`：只用于从闭环告警提取 STE 候选经验。
- `evidence_extract`：只用于证据提取或特定字段抽取。
- `template_generate`：只用于在已知变量目录和模板规则证据下生成模板。
- `chat`：只用于 Agent 最终回答的语言风格、语气和格式组织。
- `regex_generate`：只用于日志解析规则或正则辅助生成。

建议：

- 研判提示词强调事实依据、资产重要性、攻击结果和处置建议。
- 对话提示词强调只基于工具证据回答，不能编造平台数据。
- 模板生成提示词必须要求优先使用已存在变量，不能虚构字段。
- STE 提示词要求强制 JSON 输出，方便后续检索和注入。

#### Agent 对话中心

AI 对话中心可以查询平台内非敏感信息，并通过执行链路展示当前处理阶段。v2.0.1 支持在对话中查看执行链路、证据包和原始工具调用数据，也支持全屏查看长对话。

可查询 / 计算范围包括：

- 资产、告警、规则、模板、设备、项目、用户公开信息、消息和通知。
- 运营统计、分组聚合、趋势分析、TopN、数量统计和处置耗时分析。
- 威胁情报、STE 经验、相似告警和日志证据。

不可查询：

- 密码。
- Cookie。
- API Key。
- Token。
- 私密凭据。
- 配置中的敏感密钥明文。

Agent 执行链路：

1. 任务建模：识别问题类型、主体对象、时间范围和需要的操作。
2. 证据需求：把问题拆成资产、告警、情报、时间线、统计结果等证据类型。
3. 工具规划：选择平台查询工具或分析工具，并补齐参数。
4. 工具执行：调用只读工具并返回 Evidence Pack。
5. 分析计算：对已取回的数据做 count、groupby、trend、TopN、duration 等本地分析。
6. 覆盖检查：检查必要证据是否齐全，避免“没查够就回答”。
7. 结构化反思：检查回答草稿是否有证据支撑、计算是否合理、是否触碰敏感字段。
8. 定向补查或输出：证据不足时补查；证据足够时生成最终回答。

使用建议：

- 对简单问题，例如“192.168.66.23 的负责人是谁”，Agent 应优先查询资产工具，再基于返回证据回答。
- 对统计问题，例如“2026-05-25 有多少告警”，应明确时间范围、项目和状态，便于 Agent 使用统计或分析工具。
- 对趋势、分组和 TopN 问题，应尽量说明维度，例如“按状态分组”“按资产负责人 Top10”。
- 对复杂问题，例如“这个告警为什么被处置组纠正为误报”，Agent 应同时查询告警详情、状态历史、消息和经验库。
- 如果执行链路显示工具未命中，应优先检查问题中是否缺少 Hash、IP、日期、项目或状态范围。

#### STE 经验库

STE 是 Strategy-Tactics-Example 的经验结构。

推荐结构：

```json
{
  "meta": { "id": "KNOW-STE-0089", "tags": [] },
  "ste": {
    "S": "",
    "T": {
      "steps": [],
      "conclusion": ""
    },
    "E": {
      "alarm": {},
      "proof": {}
    }
  },
  "action": {
    "asset": "",
    "soar": ""
  }
}
```

经验状态：

- `draft`：草稿。
- `pending_generation`：待生成经验内容。
- `pending_publish`：待发布审核。
- `published`：已发布，可被检索复用。
- `archived`：已归档。

经验使用建议：

- 误报类经验要写清楚误报原因和证据。
- 已处置经验要写清楚处置动作和结果。
- 经验标签建议包含 CVE、规则 ID、事件类型、资产标签、攻击结果。
- 发布前应由管理员或研判负责人复核。

### 5.5 资产中心

资产中心用于维护企业 CMDB。

资产字段包括：

- IP。
- 域名。
- 资产名称。
- 所属区域。
- 负责人。
- 部门。
- 重要性。
- 环境。
- 标签。
- 指纹。
- 备注。

支持能力：

- 新增、编辑、删除资产。
- Excel 导入资产。
- 导出资产模板。
- 导出资产列表。
- 维护网段资产。
- 搜索资产。
- 查看名单命中情况。

导入规则：

- Excel 第一行为字段名。
- 固定字段会自动识别。
- 未知列会写入 fingerprints。
- IP 和域名至少填写一个。
- 支持跳过、覆盖、追加三种冲突策略。

最佳实践：

- 生产资产的重要性应尽量维护为 `high` 或 `critical`。
- DMZ、生产区、核心数据区等区域应保持命名统一。
- 对无法逐台维护的资产段，可使用网段资产兜底。
- 指纹字段建议记录操作系统、中间件、数据库、开放端口、业务系统。

### 5.6 规则中心

规则中心用于维护日志解析规则。

规则类型：

- 元规则：系统核心字段规则。
- 自定义规则：用户定义的业务解析规则。
- 固定值规则：为某类设备写入固定字段。
- 内置字段：引用系统字段。
- 多命中规则：后端支持 `match_all`，适合同一字段在一条日志中多次出现时提取全部命中值，结果以逗号拼接；旧数据库启动时会自动补齐该字段。

操作建议：

- 优先为设备创建专用规则。
- 复杂正则保存前必须使用正则测试。
- 元规则只建议管理员谨慎调优。
- 规则名称应包含设备或业务含义，方便模板引用。

### 5.7 模板中心

模板中心用于把解析字段转换为通报内容或导出内容。

模板类型：

- 消息模板。
- Excel 模板。
- CSV 模板。

变量示例：

```text
{{alert_code}}
{{alert_hash}}
{{src_ip}}
{{dst_ip}}
{{src_asset_name}}
{{dst_asset_name}}
{{ai_result}}
{{ti_result}}
```

AI 生成模板：

1. 选择设备。
2. 粘贴真实通报样例。
3. 点击 AI 生成。
4. AI 会读取该设备可用规则变量。
5. 将真实值替换为模板占位符。
6. 检查生成结果并保存。

注意：

- AI 生成模板不是直接保存模板，而是生成建议内容和变量映射，仍需要人工检查。
- 如果样例过短，例如只有“封禁源 IP：1.1.1.1”，AI 只能替换命中的变量，无法凭空补齐事件名称、时间、资产等字段。
- 模板变量优先使用规则中心已有变量和系统字段，例如 `{{src_ip}}`、`{{dst_ip}}`、`{{dst_asset_name}}`、`{{alert_hash}}`。

最佳实践：

- 消息模板适合群机器人通报。
- Excel 模板适合演练统计或日报。
- CSV 模板适合归档、二次分析或外部系统导入。

### 5.8 IP 名单

IP 名单包含白名单和黑名单。

支持格式：

- 单 IP。
- CIDR。
- IP 范围。
- 每行一个条目。
- TXT 导出会从后端导出已保存的名单内容。

使用建议：

- 白名单用于减少已知可信流量的误报。
- 黑名单用于处置提醒和封禁联动。
- 不要把资产库和 IP 名单混用：资产上下文用于判断影响范围，名单命中用于处置提醒。
- 如果白名单 IP 被封禁，应复核是否疑似失陷。

### 5.9 消息中心

消息中心用于工作流提醒。

常见消息：

- 新告警进入研判组。
- 告警进入处置组。
- 处置组纠正为误报。
- 研判组闭环。
- 白名单 IP 被封禁提醒。

点击消息可以跳转到告警工作台，并按告警 Hash 打开告警详情。

管理员可以查看和删除全部消息，但未读红点只统计管理员本人作为收信人的未读消息，避免被其他成员未读消息干扰。

### 5.10 系统设置（能力配置）

系统设置包括：

- AI 模型网关配置。
- 威胁情报配置。
- Webhook / 消息通知配置。
- 全员配置与个人配置。

AI 配置字段：

- 模型服务商。
- Base URL。
- Model。
- API Key。
- Temperature。
- 研判目标。

v2.0.1 使用建议：

- 供应商预设包括 OpenAI 协议适配、DeepSeek、硅基流动、通义千问、智谱 AI、月之暗面/Kimi、Anthropic、Google Gemini 和 Ollama。
- 模型名称可以手动填写，也可以在配置页获取服务商返回的可用模型列表后选择。
- 保存前建议先点击“测试连通性”，确认 Base URL、Model 和 API Key 可用。
- 个人配置优先于全员配置；如启用个人 AI 或威胁情报配置，应把该类参数完整填写，避免只覆盖一部分导致调用失败。
- 密钥字段会脱敏展示，保存时不要把 `******` 当作真实密钥重新填写。
- Ollama 本地服务通常不需要 API Key。Docker 内访问宿主机 Ollama 时，可使用 `http://host.docker.internal:11434/v1`。

### 5.11 系统管理

系统管理包含：

- 用户管理。
- 项目管理。
- 设备管理。
- 审计日志。
- 后台任务记录。
- 配置导入。
- 历史告警导入。

建议：

- 项目用于区分攻防演练、日常运营、专项排查等场景。
- 设备用于规则和模板适配。
- 审计日志用于追踪关键操作。

## 6. 最佳实践

### 6.1 信息统一化管理最佳实践

- 新设备接入时，应同步维护设备、规则、模板和样例日志，而不是只加解析规则。
- 资产负责人、区域、重要性和业务标签应尽量标准化，避免同一含义出现多种写法。
- 通报模板和 CSV 模板优先引用标准字段，减少人工复制粘贴。
- 告警复盘时使用 `alert_hash` 串联消息、审计、AI 研判、威胁情报和 STE 经验。
- 周期性检查“解析字段缺失”“资产未命中”“模板变量为空”的数据，持续提升信息完整度。

### 6.2 告警处理最佳实践

- 所有告警进入工作台后，优先通过 Hash 跟踪生命周期。
- 监测组只负责同步和初步确认，不直接承担复杂研判。
- 研判组必须认领后再处理。
- 转处置必须明确处置对象和动作。
- 处置组闭环为误报时必须写清楚原因。
- 已闭环告警应定期提取 STE 经验。

### 6.3 规则和模板最佳实践

- 一个设备维护一组规则和模板，避免跨设备混用。
- 核心字段尽量使用元规则，自定义字段用于业务增强。
- 模板变量应优先引用标准字段和资产字段。
- 通报模板应包含事件名称、时间、源/目的 IP、资产、风险判断和处置建议。

### 6.4 资产管理最佳实践

- 资产负责人必须尽量准确。
- 核心资产应维护重要性和区域。
- Web 服务类资产应维护中间件、端口、业务系统等指纹。
- 网段资产只作为兜底，不替代关键资产精细维护。

### 6.5 AI 与 Agent 使用最佳实践

- AI 研判前先确认解析字段和资产上下文是否准确。
- 对话中心回答应查看执行链路和证据包，确认其完成了任务建模、工具查询、证据覆盖检查和反思验证。
- 统计类问题应关注 Agent 是否完成统计、分组、趋势、TopN 或耗时分析，而不是只做关键词搜索。
- 资产类问题应关注 Agent 是否按 IP、负责人、区域等字段正确查询，而不是把所有资产混为同一负责人。
- 对高风险告警，AI 结论只能辅助，不能替代人工确认。
- STE 经验发布前应复核证据、状态和结论，待发布经验不应直接进入生产复用。
- 提示词应强调只基于平台证据，不允许编造不存在的数据。
- 配置新模型后先测试连通性，再用于告警研判或 Agent 对话。

### 6.6 安全与权限最佳实践

- 生产环境必须修改默认密码和 JWT 密钥。
- 管理员账号应最小化。
- viewer 只用于观察和汇报，不参与写操作。
- API Key、Token、Cookie 不应进入日志、模板或 AI 对话。
- 定期导出审计日志留存。

## 7. 故障排查

### 7.1 登录失败

检查：

- 用户名密码是否正确。
- 用户是否被禁用。
- JWT_SECRET 是否变更导致旧 Token 失效。

### 7.2 日志无法解析

检查：

- 是否选择了正确设备。
- 设备是否绑定了规则。
- 正则是否能匹配样本日志。
- 原始日志是否缺失关键字段。

### 7.3 资产未命中

检查：

- 资产中心是否维护了对应 IP 或域名。
- 网段资产是否覆盖该 IP。
- 解析出的 `src_ip` / `dst_ip` 是否正确。

### 7.4 告警无法保存

可能原因：

- 当前用户为只读人员。
- 相同解析结果已经保存过。
- 必填字段缺失。
- 登录状态过期。

### 7.5 状态无法流转

检查：

- 当前角色是否有权限。
- 是否需要先认领。
- 告警是否已经闭环。
- 转处置是否选择了处置对象和处置动作。
- 处置组纠正误报是否填写了误报原因。

### 7.6 AI 失败或超时

检查：

- AI Base URL 是否可访问。
- Model 是否存在，可先在系统设置中获取模型列表。
- 云模型是否填写 API Key。
- 是否通过“测试连通性”。
- 个人配置是否只填写了一部分，导致覆盖全员配置后缺少 Base URL、Model 或 API Key。
- Ollama 本地服务是否启动。
- 网关超时时间是否足够。
- 后端日志是否出现模型调用错误。

复杂 Agent 对话会经历任务建模、规划、查询、证据覆盖检查、回答、反思多个阶段，耗时可能明显长于普通问答。前端执行链路会显示当前所处阶段；如回答异常，应同时查看证据包和后端日志。

### 7.7 Webhook 失败

检查：

- 机器人 URL 是否正确。
- 企业群机器人是否启用。
- 网络是否允许后端访问外部地址。
- 消息内容是否触发平台限制。

## 8. 维护建议

- 每周检查规则命中质量和误报闭环原因。
- 每周更新资产库和网段资产。
- 每周复核黑白名单，清理临时条目。
- 每次演练后导出 CSV 和 STE 经验。
- 每月检查 AI 提示词和经验库质量。
- 每月备份数据库和关键配置。
