1. SOC 值班交接与运营台账初始化
为什么值班交接必须先有台账
SOC 值班信息断档通常不是"人没交接"，而是没有统一的记录载体：告警在 SIEM 里、处置过程在聊天记录里、工单在 ITSM 里、口头交接在班次之间。三班倒场景下，上一班"正在跟进的疑似横向移动"如果只留在个人记忆里，下一班接手时既不知道跟到哪一步，也不知道该不该继续升级。
解决思路是先定义四类记录对象及其状态机，再让交接班围绕"未闭环项"展开。四类对象的关系是：一条告警经研判后可能升级为事件，事件需要工单承载处置动作，而交接事项则是跨班次传递的未闭环摘要。
四类记录对象与流转状态
下表给出每类对象的最小字段集与状态取值。字段设计原则是：只记录能支撑"下一班能否独立接手"的信息，避免台账变成流水账。
| 对象 | 关键字段 | 状态取值 | 闭环判据 |
|---|---|---|---|
| 告警 Alert | 告警ID、来源设备、检测规则、触发时间、源/目的IP、资产、严重度 | 新告警 → 研判中 → 已定性（误报/真实） | 已定性并给出结论 |
| 事件 Incident | 事件ID、关联告警、攻击阶段、影响资产、置信度、当前处置人 | 待确认 → 处置中 → 已遏制 → 已恢复 → 已关闭 | 状态为已关闭 |
| 工单 Ticket | 工单号、关联事件、处置动作、责任人、SLA截止、证据链接 | 待派发 → 处理中 → 待验证 → 已完成 | 状态为已完成 |
| 交接事项 Handover | 事项ID、关联对象、待办动作、风险等级、交接人/接班人、时间 | 待交接 → 已接收 → 已闭环 | 状态为已闭环 |
状态字段必须使用受控词表（固定枚举值），不允许自由文本。否则统计"当前有多少事件处于处置中"时无法聚合，交接班也无法用状态筛选未闭环项。
对象流转与交接触发关系
下图展示四类对象的流转方向，以及交接班在何处介入：交接班不产生新告警，而是把"未到终态"的对象汇总为交接事项，由接班人确认接收后继续推进。
值班交接模板（可直接填写）
交接班记录以"班次"为单位，每班一条主记录，下挂若干交接事项。以下为最小可用模板，字段名可直接作为台账表头。
【班次信息】
班次：2025-XX-XX 白班（08:00-16:00）
值班人：___ 接班人：___
交接时间：___
【本班运营统计】
新告警数：___ 已定性：___ 误报：___
新增事件：___ 已关闭：___ 处置中：___
新增工单：___ 已完成：___ 待验证：___
【未闭环交接事项】（逐条填写，无则写"无"）
事项ID | 关联对象 | 当前状态 | 待办动作 | 风险等级 | 备注
H-001 | INC-2025-0031 | 处置中 | 等待终端隔离结果确认 | 高 | 疑似横向移动，已联系IT
H-002 | TKT-2025-0088 | 待验证 | 验证防火墙封禁是否生效 | 中 | 封禁IP 10.x.x.x
H-003 | ALT-2025-1204 | 研判中 | 确认是否为业务扫描 | 低 | 待业务方回复
【接班人确认】
接收人签字：___ 接收时间：___
对事项的疑问/补充：___台账初始化：从空表到可查询
初始化不是建一个 Excel 就结束，关键是让状态字段可筛选、关联字段可追溯。建议按以下顺序落地：
- 建四张表：告警表、事件表、工单表、交接事项表，每张表第一列为主键（如 ALT-日期-序号）。
- 锁定状态枚举：用数据验证/下拉列表限制状态取值，禁止手输。
- 建立关联列：事件表含"关联告警ID"，工单表含"关联事件ID"，交接事项表含"关联对象ID"。
- 设置视图：为交接班创建"未闭环"筛选视图——告警表筛"研判中"，事件表筛非"已关闭"，工单表筛非"已完成"，交接事项表筛非"已闭环"。
- 每日归档：班次结束后将当班记录导出为只读快照，避免历史被覆盖。
常见初始化错误：把"告警"和"事件"混在一张表里。告警是检测输出（量大、生命周期短），事件是研判结论（量小、需跟踪到关闭）。混表会导致"当前有多少真实事件在处置中"无法快速统计，交接时只能靠翻记录。
交接班执行检查点
- 交班前 15 分钟：从"未闭环"视图导出清单，逐条填写待办动作和风险等级。
- 交接时：接班人逐条确认，对高风险事项当场复述处置思路，确认无误后标记"已接收"。
- 接班后 30 分钟内：对高风险事项完成首次动作（如查看隔离结果、验证封禁），并更新状态。
- 闭环时：回写关联对象状态，交接事项标记"已闭环"，确保下一班不再重复看到。
这套模板的核心价值在于：任何一条未闭环记录，都能回答"谁在跟、跟到哪、下一步做什么、风险多高"。做到这一点，值班信息断档问题即被结构性消除。