功能 01
一句话价值：把十几个控制台的不同语言，统一成一份可被机器理解的单一事实来源。
跨源关联失败的根本原因往往不是算法不够聪明，而是字段口径不一致：同一个源 IP 在 SIEM 里叫
src_ip、在 EDR 里叫 remote_address、在邮件网关里叫 client_ip；
时区有的写 UTC、有的写本地时间；主机标识有的用 IP、有的用主机名、有的用资产 ID。
在这种数据上做关联，只会得到看似合理实则错误的结果。
SecClaw 在接入层就把这些差异处理掉：所有事件统一映射为 secclaw.event.v1 模式，
统一时区与时间精度，统一资产与身份标识，并保留原始报文以供回溯。
# 将上游字段映射到 SecClaw 统一事件模式
apiVersion: secclaw.io/v1
kind: Adapter
metadata:
name: splunk-notable
spec:
source: splunk
mode: readonly
schedule: "*/1 * * * *"
mapping:
event.id: "result.event_id"
event.time: "result._time"
event.category: const:"siem.notable"
source.ip: "result.src"
destination.ip: "result.dest"
user.name: "result.user"
host.id: "result.host"
threat.rule: "result.rule_name"
normalize:
timezone: "Asia/Shanghai"
dedup_key: "${source.ip}|${destination.ip}|${threat.rule}"
healthcheck:
max_delay_seconds: 180
alert_on_missing_fields: true功能 02
一句话价值：把每天上万条告警压缩成十几条真正需要人决策的事件，且每一条都能回溯到原始证据。
纯规则的系统难以应对变化，纯模型的系统难以解释与稳定。SecClaw 采用三层融合的判定结构， 让每一层的缺陷被其他层补上。
降噪的目的不是把告警变少，而是让不同价值的告警进入不同的处理通道。 SecClaw 按置信度、影响面与可利用性把事件分入四档。
| 档位 | 判定特征 | 处置方式 |
|---|---|---|
| ESCALATE | 高置信、攻击链完整、涉及关键资产 | 立即升级为事件，进入分析与处置流程 |
| REVIEW | 中置信、上下文不足以定论 | 生成待人工复核任务，附证据引用 |
| LOW_TOUCH | 低风险但需留痕 | 自动处置或标记后静默，保留检索入口 |
| ARCHIVE | 命中误报抑制模式或重复聚类 | 归档到事件组下，不占用人工队列 |
业务高峰、批量运维、定时任务、漏洞扫描窗口都会产生大量「看起来像攻击」的告警。SecClaw 通过学习环境自身的节律识别这些模式，随环境变化持续调整，而不是依赖一次性的静态白名单。
任何被归档的告警都保留原始报文、聚类关系与判定理由。当后续事件证明某条归档项是攻击前兆时，可以反向检索出同组历史告警，重建完整时间线。
我们建议用 2 周只读观察期采集基线，并用三个指标验收：降噪率（无需人工处理的占比）、高置信威胁召回率、以及人工复核耗时变化。
功能 03
一句话价值：让告警从「某个 IP 做了某件事」变成「哪台资产、哪个身份、有什么漏洞、是否命中情报、是否偏离基线」。
资产类型、业务归属、责任人、网络分区、对外暴露状态、补丁与已装安全组件、变更历史。
账号类型（人/服务/机器）、权限级别、特权路径、近期登录地理与设备、是否启用 MFA、是否有异常授权变更。
目标资产上存在的漏洞编号、CVSS 分数、EPSS 利用概率、是否有在野利用、是否存在可用缓解措施。
IP、域名、URL、文件哈希在多源情报中的信誉与标签，以及首次/最近出现时间与关联家族。
该资产/账号在历史同期的正常行为分布：常见外联目标、活跃时段、数据量级、进程与命令行模式。
该资产承载的业务系统、上下游依赖、当前是否在变更窗口、是否属于不可中断服务。
功能 04
一句话价值：把时间上分散、来源上异构的告警，还原成一条能被读懂的完整攻击故事。
单条告警只能说明某个瞬间发生了什么，无法回答攻击者从哪来、要到哪去、已经走到哪一步。 SecClaw 以 ATT&CK 战术序列为骨架，把命中的技术点按时间与因果排序， 形成带缺口标注的攻击链，让分析人员一眼看清当前所处阶段与下一步可能的动作。
安全场景不能容忍「看起来合理」的结论。SecClaw 要求模型输出的每条结论都必须绑定证据对象： 原始日志行、告警 ID、资产指纹、情报条目、漏洞编号或审批记录。系统会逐条校验引用是否存在、是否指向真实数据、 是否与结论一致；无法被证据支撑的推论自动降级为「待人工确认」，不进入处置流程。
verdict:
chain_id: CH-2025-0417-0031
severity: high
confidence: 0.91
tactics:
- id: T1566.001 # 钓鱼附件
evidence: [mail:MSG-8821, sandbox:SBX-1190]
- id: T1204.002 # 用户执行恶意文件
evidence: [edr:detect-55120, proc:WIN-FIN-07/4821]
- id: T1078.002 # 域账号滥用
evidence: [ad:4624/K-8817, identity:svc_backup]
- id: T1021.001 # RDP 横向移动
evidence: [ndr:flow-77120, host:WIN-DB-02]
blast_radius:
hosts: [WIN-FIN-07, WIN-DB-02, WIN-APP-01]
identities: [CORP\\svc_backup]
crown_jewels_touched: true
root_cause: "对外暴露的 RDP 端口 + 服务账号弱口令"
hallucination_check: "pass (27/27 refs resolved)"
unverified_claims: [] # 无未验证结论
当证据不足时，输出会显式标注 unverified_claims 并把对应结论转入人工复核队列——
这在安全场景里比给出一个漂亮的错误答案重要得多。
功能 05
一句话价值：让 AI 敢动手、让团队敢放权——通过动作风险分级与强制人工审批，把误伤可能性压到最低。
| 等级 | 典型动作 | 授权要求 | 沙箱预演 | 回滚 |
|---|---|---|---|---|
| L0 只读观察 | 查询日志、拉取上下文、生成研判结论 | 默认开启 | 不需要 | 不适用 |
| L1 低风险自动 | 发送通知、创建工单、打标签、加临时监控、导出证据包 | 默认开启，可关 | 可选 | 操作可撤销 |
| L2 中风险受控 | 封禁外联 IP、DNS 黑洞、清理同源钓鱼邮件、限制账号登录 | 需策略显式授权 | 强制 | 强制生成回滚点 |
| L3 高危审批 | 隔离主机、禁用账号、终止关键进程、批量变更访问策略 | 强制人工审批 | 强制且需通过 | 强制，且记录回滚责任人 |
平台内置常见处置动作，均带参数校验与目标范围限制，避免「范围写错导致大面积影响」。
审批不是简单弹窗，而是需要与组织职责匹配的流程。
动作下发不等于问题解决。SecClaw 在处置后自动回收验证指标，判断动作是否真正生效。
功能 06
一句话价值：把「万一误伤」这个担忧，变成一个可以提前看见、事后撤销的工程问题。
读取资产清单、账号体系、网络分区与访问策略，构建数字孪生式的影响面模型：这个动作会触达哪些主机、影响哪些账号、打断哪些业务链路。
如目标属于不可中断服务、正在变更窗口内、或位于业务保护白名单，预演会直接判定为「不建议执行」，并把决定权交回人工。
输出影响面清单、预计副作用、被影响的依赖方与替代方案建议（例如先做 DNS 黑洞而非直接隔离主机），供审批人参考。
执行前自动记录目标当前状态与恢复所需指令，形成可一键触发的回滚点；回滚操作本身也进入审批与审计链。
执行后自动验证效果；若验证失败或出现业务异常，可按预案回滚，并把本次预演与真实结果的差异记入复盘，持续校准影响面模型。
功能 07
一句话价值：让响应流程像代码一样可读、可审、可版本化、可回滚，而不是散落在文档和少数人的记忆里。
图形化拖拽的剧本在复杂场景下会迅速变成难以维护的「面条图」。SecClaw 采用声明式 YAML 描述流程： 触发条件、前置校验、动作序列、审批卡点、失败分支与超时策略都是显式字段， 可以纳入版本管理、代码评审与 CI 校验，也便于跨环境复制与灰度发布。
apiVersion: secclaw.io/v1
kind: Playbook
metadata:
name: ransomware-contain
version: "1.4.0"
spec:
trigger:
match: "event.chain.similarity >= 0.85"
tactics: ["T1486", "T1490"]
guards:
- if: "asset.business_critical == true"
then: "require_approval: ciso_delegate"
steps:
- name: collect-evidence
action: edr.collect_forensics
risk: L1
- name: dry-run
action: sandbox.simulate
action_args: { target: "${chain.hosts}" }
risk: L0
- name: isolate
action: edr.isolate_host
risk: L3
require: ["approval:human", "sandbox:pass", "rollback:ok"]
timeout: "10m"
on_timeout: "escalate_to: soc_manager"
- name: block-c2
action: network.block_ip
risk: L2
on_failure: { retry: 3, backoff: "30s" }
- name: verify
action: verify.effect
expect: "no_outbound_c2_traffic"
window: "15m"功能 08–10
这三项能力把安全运营从「被动接单」推向「主动发现」与「组织级协同」。
狩猎不是漫无目的地翻日志，而是从一个可被证伪的假设开始。SecClaw 内置假设模板库，覆盖凭据转储、横向移动、异常外联、计划任务持久化、云凭证滥用等常见攻击面。
CVSS 只描述漏洞本身的严重性，不描述它对「你」的严重性。SecClaw 把 EPSS 利用概率、资产关键性与暴露面一起纳入排序，让修复顺序与业务风险对齐。
预案写在文档里，出事时往往没人翻。SecClaw 把预案变成可执行流程：角色分派、动作编排、证据汇总与复盘报告生成一体化。
能力总览
下表把功能、解决的痛点、关键参数与对应指标放在一起，便于在选型评审中直接使用。
| 功能 | 解决的痛点 | 关键参数 / 机制 | 对应指标 |
|---|---|---|---|
| 多源接入与归一化 | 工具孤岛、字段口径不一 | 适配器插件、统一事件模式、接入健康度监控 | 支持 ≤20 个数据源（专业版） |
| AI 告警降噪 | 警报疲劳、重复告警 | 五段式管道、规则+统计+模型三层融合 | 降噪率 ≥ 80% |
| 上下文富化 | 误报成本高、研判缺依据 | 资产/身份/漏洞/情报/基线/业务六维上下文 | 分析时延 P99 < 2s |
| 关联归因与攻击链 | 看不到全局攻击故事 | ATT&CK 战术序列、爆炸半径、根因溯源 | 高置信威胁召回 ≥ 95% |
| 分级受控处置 | 自动化不敢放手 | L0–L3 分级、审批卡点、超时升级 | 生产变更 100% 经审批或白名单 |
| 沙箱预演与回滚 | 怕误伤生产系统 | 影响面建模、白名单校验、回滚点生成 | 高危动作 100% 预演 + 可回滚 |
| 剧本声明式编排 | 流程散落、难以维护 | YAML 声明式、版本化、可试运行 | 剧本覆盖主流响应场景 |
| 威胁狩猎 | 被动接单、暗数据沉睡 | 假设模板库、时间线重建、规则沉淀 | 狩猎假设可定期自动复跑 |
| 漏洞管理 | 修复顺序与业务风险脱节 | CVSS+EPSS+资产关键性+暴露面排序 | 风险例外 100% 审批可溯 |
| 审计与合规 | 责任无法界定、举证困难 | 哈希审计链、四类报表、离线校验 | 审计链 100% 可校验 |
五段依次为归一化、指纹去重、聚类、富化与评分分流。归一化统一字段口径与时区；指纹去重消除完全重复项；聚类把同源同因的告警合并为事件组；富化补齐资产、身份、漏洞、情报与基线上下文；评分分流按置信度与影响面把事件分入 ESCALATE、REVIEW、LOW_TOUCH、ARCHIVE 四档。
降噪是把大量告警压缩成少量需要人看的事件，重点是处理量与可读性；误报抑制是针对已知的良性触发模式做抑制，重点是判断准确性。SecClaw 两者都做：降噪管道负责合并与分流，动态基线与误报抑制负责识别环境正常的周期性行为，避免把业务高峰、批量运维、定时任务当成攻击。
L0 为只读观察，不产生任何写操作；L1 为低风险自动动作，如发通知、建工单、打标签、加临时监控；L2 为需要策略显式授权的中风险动作，如封禁可疑外联 IP、清理同源钓鱼邮件，必须沙箱预演并保留回滚点；L3 为高危动作，如隔离主机、禁用账号、终止关键进程，一律强制进入人工审批卡点。
不需要额外搭建。SecClaw 的沙箱预演基于数字孪生式的资产与策略镜像：读取你的资产清单、账号体系、网络分区与策略规则，在平台内构建影响面模型，模拟动作执行后的可达范围与副作用，并标注命中的业务白名单与依赖关系。客户只需提供准确的资产与依赖数据。
可以。SecClaw 支持导入既有 SIEM 的检测规则、SOAR 剧本与自定义脚本，并可将它们纳入智能体的决策流程中。剧本采用声明式编排，可读性高、可版本化、可在沙箱中试运行；平台同时提供 OpenAPI 供你以代码方式管理规则与剧本。
很多单位采集了大量日志却只用了其中一小部分做规则匹配，其余长期沉睡。暗数据唤醒指狩猎智能体主动检索这些未被规则覆盖的日志（如身份认证明细、远程服务调用、计划任务变更、云 API 调用记录），用假设驱动的查询把沉睡数据变成可行动的发现，并沉淀为新的检测规则草案。
支持单节点本地化部署、高可用集群部署与纯离线内网部署三种形态。基础版面向 ≤5,000 EPS 归一化吞吐，专业版面向 ≤50,000 EPS，企业版支持集群化弹性扩展与多租户。实际规格需结合实际数据源数量、日志保留周期与并发分析需求进行容量规划。