跳至主要内容

從 4 萬則告警到完整攻擊故事：SIEM+ 戰役如何串起告警、案例與攻擊者

· 閱讀時間約 6 分鐘
James Yip
James Yip
Managing Director

告警疲勞不只是佇列問題，更是故事問題。

當 SOC 被大量通知淹沒，分析師往往一次只開一個案例。每個案例單獨看起來可能都正確，缺的是更大的畫面：哪些案例屬於同一波攻擊活動、同一個帳號，或同一條手法路徑。這也是為什麼團隊即使降低雜訊，仍常覺得自己在追碎片。

我們先前寫過，每天 4 萬則告警如何變成不到 10 個案例，以及為什麼告警疲勞不只是 SOC 不便，而是企業風險。SIEM+ 1.1.0 加上下一層：戰役（campaigns），把相關案例連起來，讓你能從單一告警走到完整攻擊故事。

問題：有案例，卻沒有戰役​

香港、新加坡、台灣、日本與印尼的中小企業資安團隊，日常很相似。SIEM 正常運作、告警進來、案例開啟、分析師處理佇列。

他們常常無法快速判斷：同一個帳號上的三個案例，是三件無關的事，還是應該一起調查的一場戰役。少了這種分組，人員會反覆重建脈絡、錯過共用基礎設施，並先把故事的錯誤片段往上呈報。

SIEM 戰役關聯要補的就是這個維運缺口。它不取代你的 SIEM，而是整理 SIEM 已經產生的內容，讓人更快做決定。

SIEM+ 裡的戰役是什麼​

在 SIEM+ 中，戰役是針對單一帳號、以規則彙整的相關案例群組。

分組依循明確規則，包括：

  • MITRE ATT&CK 技術
  • 資料來源
  • 日期
  • 共用基礎設施

這是可說明、可稽核的 MITRE ATT&CK 告警分組，而不是事後沒人講得清楚的黑箱叢集。

有些活動會刻意留在獨立戰役。特權目標、罕見技術與首次出現的實體會分開，避免高訊號項目被埋進大型嘈雜群組。已解決或已結案的案例，絕不會併入進行中的戰役。做完的工作就保持做完。

戰役 → 案例 → 告警：分析師使用的圖​

每個戰役會展開成可展開的樹狀結構：

  1. 頂層是戰役
  2. 屬於該戰役的案例
  3. 每個案例背後的告警（按需載入，讓樹保持好用）

同一檢視也能連到共用實體的相關戰役。這就是從一則吵雜告警走到完整故事的路徑：開啟案例、查看同戰役內的兄弟案例、展開支撐證據的告警，再在同一使用者、主機或其他實體出現在別處時，跳到相關戰役。

例示（illustrative example）： 分析師開啟可疑登入告警，發現它落在依技術與日期分組的戰役底下某個案例中，展開按需告警清單查看證據，再沿著共用實體連結，走到使用相同基礎設施的另一場戰役。調查路徑是這棵樹，而不是一堆互不相關的工單。

樹狀呈現方式對齊 siem.plus/features 的戰役→案例→告警示意風格（僅樣本資料）。

SIEM+ 1.1.0 戰役到案例到告警樹狀示意（僅樣本資料）

AI 提案，分析師決定​

這是相對於黑箱 AI SIEM 外掛的核心差異。

分組是程式碼，不是模型。 戰役成員由規則決定。AI 不會默默決定哪些案例該在一起。

AI 會做的事：

  • 撰寫標題與摘要
  • 建議戰役之間的連結
  • 提出技術對應建議

每一則 AI 建議都會保持待審，直到分析師接受或拒絕。技術對應建議也必須經分析師接受後才會被使用。這裡的 AI 告警分流，是語言與建議的輔助，不是無人監管地控制調查圖。

對 SOC 主管來說，這種分工很重要：既有自動化速度，也保留人的決策責任。

替你開案例：案例代理​

在戰役能說故事之前，相關告警仍需先成為案例。

SIEM+ 的案例代理會把相關告警組成候選案例，並附上證據表。規則決定資格並執行每一次寫入；AI 只判斷模糊叢集並撰寫案例說明。每個帳號對新建案例有每日上限，避免自動化反而淹沒它本該整理的佇列。

實務上，分析師從已備妥證據的候選案例開始，再用戰役看這些案例如何組成更廣的攻擊敘事。

SIEM+ 1.1.0 的其他新功能​

戰役是重點，但 1.1.0 也新增：

  • 隨需使用者獵捕，不必等下一批週期就能查特定使用者
  • 含說明的態勢獵捕發現，讓發現可讀，而不只是分數
  • 錯過的日／週／月報自動補齊（含戰役章節）
  • 更快的儀表板與 MITRE 摘要，讓忙碌班次仍能做 ATT&CK 導向檢視

建在你現有的 SIEM 之上​

SIEM+ 疊在你已在運行的 SIEM 之上。目前正式支援：

  • Devo
  • Microsoft Sentinel
  • LogEase

Fortinet FortiManager 即將支援。此文不宣稱其他整合。

詳情見 Integrations、功能說明見 Features、方案見 Pricing。Platform Only 起價為每月 USD 300。

下一步​

若你的團隊仍把告警與案例當成孤立工單處理，試著把同一佇列看成戰役故事：一個帳號、相關案例、可展開告警、相關實體連結，以及等待人為可否的 AI 建議。

這就是 SIEM+ 1.1.0 的務實意義—更少碎片、更多攻擊故事，且不取代你已信任的 SIEM。

FAQ​

SIEM+ 的戰役關聯是什麼？​

它是針對單一帳號、以規則彙整相關案例的做法，依據 MITRE ATT&CK 技術、資料來源、日期與共用基礎設施等因素，讓分析師調查連貫的戰役，而不是互不相關的案例。

AI 會自動合併戰役與案例嗎？​

不會。分組以程式碼實作。AI 只撰寫標題與摘要，並建議連結或技術對應。建議會保持待審，直到分析師接受或拒絕。

SIEM+ 1.1.0 支援哪些 SIEM？​

正式支援 Devo、Microsoft Sentinel 與 LogEase。Fortinet FortiManager 即將支援。

Platform Only 多少錢？​

Platform Only 起價為每月 USD 300。詳見 siem.plus/pricing。