资源介绍
视频数量：8个
总时长：2小时2分
课程介绍：
安全运营中心警报调查实战
凌晨的值班室里，告警数量还在不断增加。分析师面前同时出现了七十八条事件，其中既有云平台活动，也有可疑账户登录、凭据访问、权限提升，以及资源被创建或删除的迹象。真正棘手的问题来了：应该先处理哪一条？收集哪些证据？什么时候移交？又该怎样确认攻击范围和处置结果？这门课程以一个AWS根账户凭据失陷事件为线索，带你走完从警报分流到响应验证的完整调查流程。
一、认识安全运营调查工作流：
课程首先介绍安全运营分析师的职责，以及警报、事件和调查案件之间的关系。警报通常来自某条检测规则，是一次具体的可疑行为；多个相关警报被聚合后，才可能形成需要持续追踪的事件。课程以Microsoft Defender与Sentinel相关工作界面为主线，说明一线分析师如何接收任务、确认告警来源、查看受影响资产，再把复杂事件交给二级分析师。二级分析师则需要继续验证事实、判断影响并推动响应。学习这些角色之间的衔接，比只记住某项工具操作更重要，因为真实工作中的调查从来不是一个人从头做到尾。
二、从大量告警中完成优先级判断：
课程从一个包含七十八条事件的场景开始，带你练习安全告警分流。分析时不能只看告警名称或严重性标签，还要综合判断资产重要性、行为类型、异常阶段和潜在影响。例如，可疑账户活动可能只是前置探测，权限提升和凭据访问则可能意味着攻击者已经获得更高权限。课程会引导你查看告警名称、严重性、类别、目标资产、数据来源、检测器以及首次和最后活动时间，从纷杂信息中找出更值得优先调查的线索。这样做可以避免被告警数量拖住，把有限时间用在风险更高的事件上。
三、建立调查工作簿并收集证据：
进入具体案件后，课程使用事件二八一AWS根账户凭据安全调查工作簿作为记录载体。分析不是看完界面就结束，而是要逐步登记告警名称、严重性、检测类别、受影响账户、时间范围、数据来源和当前判定结果。工作簿还会帮助你区分已经确认的事实、仍需验证的假设以及缺失的信息。收集证据时也要回答三个问题：信息来自哪里，为什么值得关注，它能支持或否定什么判断。这样的记录方式能让后续分析有据可查，也方便向同事完整复现调查过程。
四、完成升级与案件移交：
一线分析师通常无法仅凭首轮信息确认全部影响，因此证据收集之后还要进行升级和移交。课程会练习如何从事件页面下钻到单条告警，提取关键字段，并判断是否需要二级分析师继续处理。移交内容不能只写一句“情况可疑”，而应说明发生了什么、涉及哪些资产、已经收集了哪些证据、当前有哪些疑点，以及建议的下一步调查方向。对初入岗位的分析师来说，这是最容易忽略的一环。清晰的交接能够让接手者迅速进入上下文，也能减少证据遗漏和重复劳动。
五、展开二级深度调查：
二级分析师接手后，需要围绕账户失陷这一判断继续查证。课程将初始告警与更多上下文关联起来，检查账户活动是否存在异常时间、异常来源或不符合正常模式的操作，并分析权限提升、资源变更等行为之间的联系。调查中既要避免把异常直接当成入侵结论，也不能因为缺少明显证据就轻易排除风险。你会逐渐学会用证据支持结论，用反例修正假设，并在调查记录中保留仍然无法解释的部分。
六、关联告警并重建攻击时间线：
分散在不同告警中的记录，需要按照时间、账户、资产和行为进行关联。课程会示范如何识别重复告警，合并同一活动的零散记录，并按照先后顺序还原攻击过程。构建时间线时，单纯排列时间还不够，还要说明前一个动作如何促成后一个动作。例如，异常登录之后出现了凭据使用，后续又发生权限提升，这些环节可能构成一条连续的攻击链。明确事件之间的因果关系，有助于判断攻击何时开始、进入环境的方式是什么，以及当前风险是否仍在扩大。
七、确认影响范围与受影响资产：
调查不能停在“根账户可能失陷”这个结论上。课程会引导你围绕AWS根账户建立资产范围图，确认哪些账户、凭据、角色或云资源受到影响，同时区分已经确认受损、疑似相关和暂时不受影响的资产。这个步骤能帮助你判断攻击是否横向扩展，敏感操作是否已经发生，以及业务风险集中在何处。清晰的范围说明也会直接影响后续优先级，例如是否需要立即隔离账户、收紧权限或扩大调查范围。
八、实施遏制并验证响应结果：
完成调查后，课程进入自动遏制与响应环节。你将根据证据选择合适的处置动作，并观察系统在执行动作后是否真正阻断风险。这里重点不是记住某个按钮，而是理解处置依据、验证方法和回退考虑。一次有效响应不仅要说明做了什么，还要用新的日志、状态或告警变化证明风险已被控制，从而避免出现表面关闭告警，实际攻击路径仍然存在的问题。
九、形成可复用的调查报告：
课程最后使用完整调查报告模板，汇总事件分流、调查证据、攻击时间线、影响范围、遏制动作和响应验证结果，并提供示例报告作为参考。一份合格报告应当让管理者快速理解风险，让技术团队清楚看到证据，也让你自己回顾调查中的判断和不足。完成课程后，你不仅能够看懂一条云安全告警，还能把它发展成结构清楚的调查案件。
这门课程适合准备进入安全运营中心的学员、正在承担一线告警分流的分析师、希望转向云安全方向的运维人员，以及需要补充事件响应实战经验的初级二级分析师。你不需要先成为AWS专家，但应具备基本云环境、安全账户和日志概念认知。课程结束后，你会拥有从接收告警、收集证据、升级移交，到关联分析、确认范围、遏制响应和撰写报告的一套完整工作思路，面对高噪声告警时也能更稳地找到调查起点。