#告警筛选降噪

#场景说明

海量告警导致告警疲劳，安全团队被噪声淹没，难以有效应对真正威胁。使用X情报API可快速对告警进行分类分级，帮助团队识别高优先级告警，提升安全运营效率。

#使用的X情报API

IP信誉API：https://x.threatbook.com/v5/apiDocs/ip/reputation

#核心字段

is_malicious：是否为恶意IP。true代表恶意，false代表非恶意。

judgments：IP地址的威胁情报判定标签，用于获取IP地址的上下文

#具体使用方法

#使用步骤说明

1. 从所有的网络流量告警日志中，筛选出从互联网侧向服务器区主动发起攻击的告警日志(攻击方向为外对内)，并提取互联网侧的攻击源IP地址。如果告警日志中没有标记攻击源IP地址，可以从访问源IP地址，或者X-Forward-For字段中(有负载均衡的情况)进行提取。

2. 将攻击源IP地址作为请求参数，调用IP信誉API进行查询。

3. 综合考虑告警检出结果和源IP地址情报判定和标签进行告警分类分级。

注意：情报信息仅能体现攻击源IP地址的历史的行为和威胁判定，请勿在告警优先级判定时，忽略安全设备对当次告警的检出结果，仅使用情报信息进行判定。