AI SOC分析师

告警数据上传

拖拽文件到此处或点击上传

支持 JSON 或 CSV 格式的安全告警文件

选择告警数据类型

全部 SIEM EDR 网络

单选模式

Microsoft Sentinel

云原生SIEM

Splunk

企业级SIEM

Elastic SIEM

开源SIEM解决方案

FireEye HX

端点检测响应

CrowdStrike Falcon

云工作负载保护

Cisco Stealthwatch

网络流量分析

IBM QRadar

安全信息事件管理

Carbon Black

下一代防病毒

分析设置

实时分析

启用威胁关联分析

行为模式识别

分析结果概览

高风险告警

中风险告警

低风险告警

潜在攻击链

威胁情报摘要

APT28 Cobalt Strike Ransomware Phishing Malware

高置信度告警摘要

可疑横向移动活动

高置信度 (92%) 执行阶段

风险实体

WORKSTATION-07 (192.168.1.45)
张伟 (zhangwei@company.com)
FILE-SERVER-01 (10.0.1.23)

风险概览

检测到从内部工作站 WORKSTATION-07 到文件服务器 FILE-SERVER-01 的异常SMB连接活动，时间间隔小于1秒，符合横向移动特征。与已知APT28攻击模式高度匹配。

关键证据

时间: 2023-07-15 14:32:18

来源: Microsoft Defender ATP

检测到异常的PowerShell命令执行，尝试访问系统敏感目录。
时间: 2023-07-15 14:32:19

来源: Windows Security Log

记录到非法的管理员权限提升操作，使用了已知的漏洞利用工具。
时间: 2023-07-15 14:32:20

来源: Network Flow Data

发现加密流量中的命令控制通信特征，与APT组织常用协议匹配。

处置建议

立即行动:

隔离受影响的工作站和文件服务器
重置相关账户密码
检查服务器上的异常文件

后续调查:

审查过去72小时的相关日志
检查其他工作站是否存在类似活动
更新防火墙规则阻止异常SMB连接

可疑数据外泄活动

高置信度 (87%) 数据窃取阶段

风险实体

FINANCE-PC-12 (192.168.3.78)
李娜 (lina@company.com)
外部IP: 203.0.113.45

风险概览

检测到财务部门计算机 FINANCE-PC-12 向未知外部IP地址 203.0.113.45 传输大量加密数据，传输模式与已知数据窃取活动相符。传输时间发生在非工作时间，增加了恶意活动的可能性。

关键证据

时间: 2023-07-15 02:15:33

来源: Network IDS

检测到大量数据库查询命令通过非标准端口传输，疑似数据抽取。
时间: 2023-07-15 02:16:01

来源: Firewall Logs

观察到异常的TCP连接建立模式，与已知数据外泄工具特征一致。
时间: 2023-07-15 02:16:22

来源: DLP System

拦截到包含客户个人信息的压缩文件被上传至云存储服务。