事件响应

按时间线组织证据、分派负责人，并记录下一班分析员需要复核的事项。

调查步骤

调查: 核对时间和方向，在拓扑图上确认通信跨越的边界。
响应: 将证据挂到事件时间线，记录处置状态和需要复核的会话。

相关资源

从告警找到原始证据

通过关联 ID 从一次检测找到会话和对应抓包，再返回安全事件。

指标命中之后，还要查什么？

用时间窗口、目标服务和设备角色复核一次可疑命中。