1. 简介
在网络安全领域，每天都会产生大量安全警报。作为一名安全分析师，识别、评估并优先处理这些警报的能力至关重要。三分法（Triage） 是确保安全团队高效响应安全事件的核心流程，它能够帮助我们合理分配资源、集中精力处理最关键的威胁。
2. 什么是三分法（Triage）？
三分法原本用于医疗领域，用于在紧急情况下根据病情严重程度对患者进行优先级排序。在网络安全中，三分法的作用类似：根据警报的重要性或紧急程度进行优先处理，以避免潜在安全事件扩大成严重事故。
三分法的目标是帮助安全团队评估警报、识别真正的威胁，并将有限的资源集中用于应对最重要的问题。
3. 三分法的三个关键步骤
3.1 接收与评估（Receive and Assess）
在三分法流程的第一步，安全分析师会从如 入侵检测系统（IDS） 等自动化系统接收警报。接下来需要做的是：
- 验证警报是否真实 ：有些警报可能是 误报（false positives），即系统错误地识别了一次无害的行为。
- 回顾警报历史：该警报以前是否发生过？它是否是一个反复出现的问题？
- 检查是否为已知漏洞：可以参考现有资料快速制定应对策略。
- 判断警报的严重程度：严重程度直接影响后续的处理优先级和资源分配。
3.2 分配优先级（Assign Priority）
一旦警报被确认是真实的安全问题，下一步就是 分配优先级。并不是所有的安全事件都具有同等影响，以下几个因素应被考虑：
- 功能影响（Functional Impact）：事件是否干扰了系统的正常功能？如勒索软件可能造成服务不可用。
- 信息影响（Information Impact）：事件是否导致敏感数据的泄露、破坏或篡改？
- 可恢复性（Recoverability）：是否可以恢复被破坏或丢失的数据？恢复成本是否值得？
3.3 收集与分析（Collect and Analyze）
最后一步是进行全面的分析工作。这包括：
- 收集证据：如系统日志、网络流量、端点行为等。
- 开展外部调查：借助威胁情报、CVE 漏洞库等外部信息源。
- 记录调查过程：文档化处理过程，便于复盘与知识积累。
若事件复杂或影响重大，可能需要上报给更高级别的分析师（如二级分析师或安全经理）进行处理。
4. 三分法的好处
一个有效的三分法流程不仅提升响应效率，还能让整个安全运营更具可持续性和一致性。
4.1 更高效的资源管理
通过优先处理紧急警报，安全团队可以合理调度资源，避免时间浪费在低优先级事件上，也能缩短应对重大事件的响应时间。
4.2 标准化处理流程
三分法提供一种 标准化的事件响应方法 。结合如 操作手册（Playbooks） 的流程文档，可确保每个警报被妥善处理与记录。
5. 总结
三分法不仅是应对安全警报的技术手段，更是信息安全工作中不可或缺的策略之一。作为安全分析师，掌握三分法流程能够提升你对威胁的响应速度、准确率和资源利用效率。
面对不断演变的网络威胁，拥有一套清晰的三分流程，就是你应对混乱、守护组织安全的第一道防线。