#threat-hunting

SOC每天处理3000条告警，为什么真正该看的不到30条？

检测规则全标High级别是制造告警疲劳的最快方式。本文从Elastic四层降噪、Sigma规则分级和SOC运营现实出发，讨论检测分层的工程落地边界。