安全告警是指深信服安全检测与响应平台XDR检测到的您现网资产中存在的威胁，这些威胁通常是某个恶意IP对您资产进行的攻击。
XDR安全告警列表现现在配备了多个分析面板，提供灵活的筛选和过滤机制，使用户能根据组织组织的实际情况定制告警展示界面。这一设计不仅使告警的分类治理更加高效，也确保了关键告警能够获得优先处理。
需要部署运营GPT并开通授权
GPT针对每条会给出研判结论，结论包含以下：
告警定性可以帮助用户更好地了解安全威胁的类型、来源、影响等信息，从而提高用户的安全意识和防范能力，帮助安全管理员更好地了解安全威胁的特征和行为模式，从而加强安全防御措施，提高安全防御的准确性和效率，帮助企业更好地了解安全威胁的风险和影响，从而优化安全投入，提高安全投入的效益和回报。
安全告警的告警定性将安全分为8类，分别为：
在安全告警分析导航栏下，点击页面中右侧齿轮状按钮，在弹出窗口中配置重点关注告警属性，包含资产、攻击结果、告警定性、告警类型、访问方向、是否关联事件。配置完成后，点击”仅看重点关注“，展开重点关注告警。
举例：比如重点关注资产有服务器资产，攻击结果为成功，告警定性为定向攻击，告警类型为全部、访问方向为全部，是否关联事件为已关联、未关联。
在安全告警分析导航栏，支持以24小时、7天等频率展示该统计时间安全事件结果；支持以15秒、1分钟、5分钟等刷新频率自动刷新展示安全告警，在重保、攻防对抗等关键时期，可以设置自动刷新频率，省去重复性点击动作，结合过滤条件帮助您更好聚焦安全研判。例如间隔5分钟自动刷新XDR检出的严重等级安全告警。
在安全告警分析导航栏，支持以告警等级（严重、高危、中危、低危等）、告警三级分类标签（如脆弱性风险、邮件攻击、漏洞攻击等）、攻击结果（成功、失陷、尝试、失败）以及访问方向（无、内到外、外到内、内对内）等条件快速过滤展示，帮助您更聚焦目标时间段内高价值安全告警。例如过滤对10.33.97.100主机攻击结果为失陷的安全告警。
告警全文检索规则规格说明（含限制条件），目前支持的字段：源IP、目的IP、XFF、主机IP、URL
源IP、主机IP、目的IP支持like语句模糊搜索
搜索之后，IP顺序发生改变，优先展示搜索过的IP。
备注：需要部署运营GPT，并开通授权。
提供网络侧安全告警，新增IPS、黑客工具、IOC安全告警的解读；提升了WAF类安全告警的解读能力、更多的类型安全告警的解读；
目前80%的安全告警，都支持安全GPT解读；
点击安全GPT助手，可弹出“攻击解读”、“相似告警调查”、“主机威胁态势调查”、“同源和同目的的访问调查”功能。
展示告警字段信息（包括告警规则ID、告警三级分类、GPT研判结论、数据包内容）等信息
展示近30相似告警总数，需要提前配置告警相似性规则。
展示告警关联的日志列表信息，展示字段包括序号、记录时间、规则名称、规则ID、上报设备、威胁一级分类、威胁二级分类、源IP、目的IP、目的端口、攻击状态
展示告警常规字段和IP域名信息。
展示预案执行情况，并可以进行人工处置。
可发起流程工单，展示流程工单流转情况和进行处置。
安全告警检测引擎：NAE引擎，必须是N+E且带进程链的告警。NDR告警结合E侧进程链，展示进程链
针对安全告警的操作主要有以下几种，分别为添加标签、复制、规则配置、处置、标记、修改规则。
同样支持将鼠标移动至具体安全告警上右键对安全告警进行操作。右键菜单栏内置小工具，如复制单元格以及复制整行支持快速将值复制到剪贴板，解码工具支持多种格式编码转换，省去手动打开解码网站进行Payload解码查看。
选择一条或多条告警，为告警添加研判标签。标签包括有效告警、误报、待审核等，点击标签右侧的"..."可对标签内容和颜色进行修改。
在安全告警详情中，添加研判标签，可以设置标签的生效范围：
配置完成相似性告警规则后，告警详情中会增加一个告警相似性列表。
选择一条或多条告警可复制告警内容或复制源IP，点击“复制告警内容”后侧的齿轮可自定义复制告警内容。
针对网侧告警和端侧告警可以自定义配置需要复制的内容，点击“详细指引”可以查看配置方法和效果。
查看告警的GPT研判结论，如果结论不准确可以选择【规则配置/GPT研判结论调优】进行配置，调优策略可配置内容如下:
对告警进行研判，如果存在误报，可以选择告警添加白名单规则，规则可配置内容如下:
选择一条或多条告警进行处置，可处置动作包括：
封禁地址
处置告警的时候，点击封禁IP，支持自动填充需要封禁的IP、域名、URL，提高处置效率。
选择一条或多条告警进行标记，可标记的动作包括：待处置、处置中、处置完成、误报、忽略。
选择一条或多条告警修改规则，包括：
创建事件
对告警进行分析研判，判断告警攻击成功或主机失陷，但未生成安全事件，通过告警”创建事件“将告警转为自定义安全事件或关联事件。
自定义事件规则
默认填充告警类型，日志规则ID（无日志规则ID填充告警规则ID），源IP，源端口，目的IP，目的端口，MD5，URL，域名，如果这些字段为空值则隐藏。
用户可以在上图功能点所示页面上进行用户自定义告警规则的配置，目前支持配置字段为源IP、源端口、目的IP、目的端口、告警规则ID、日志规则ID、域名、URL、XFF、文件路径、文件MD5、告警等级、确定性等级、检测引擎、风险标签、攻击结果、ATTCK技术、数据源-原始、访问方向、威胁定性。
用户配置完成后即在页面列表上展示出一条对应的规则，该规则会被下发至能力引擎，当有对应的告警命中此规则时，即可根据用户配置生成对应的事件。
建议使用Chrome浏览器访问！
