IT 运营
建立安全日志管理基线
关键系统产出受保护、可搜索的日志，并订好负责人、保存、审查与告警。
流程
按这个顺序做。
- 盘点关键资产、日志源、责任人、监管义务、必须支持的调查以及当前采集缺口。
- 按源类定义所需事件、字段、时间戳、身份上下文、留存、访问、隐私处理和复审频率。
- 配置可靠时间同步和集中传输，含加密、缓冲、健康监控和最小权限服务账号。
- 归一化并丰富事件，同时保全原始记录，并记录解析或过滤决定。
- 用基于角色的访问、不可变或防篡改证据、备份和可审计管理变更，保护日志完整性与保密性。
- 实施绑定威胁与业务风险的用例和告警，并用有代表性的良性与恶意测试事件调优。
- 衡量源覆盖、摄入延迟、解析失败、存储增长、告警质量和检索成功；按计划复审基线。
先准备
猫会向你要的输入。
- 资产与日志源清单
- 留存与合规要求
- 日志平台访问
- 检测优先级
路由器 + 一份 playbook
先路由。只选一份。
Cat Paw 每次任务只加载一份 playbook，不合并多份。先走这个路由器；其余路径是此 workflow 可检查的候选。
- 路由器：
cybersecurity-pack skills/cybersecurity-skills/performing-log-source-onboarding-in-siem/SKILL.mdskills/cybersecurity-skills/implementing-syslog-centralization-with-rsyslog/SKILL.mdskills/cybersecurity-skills/building-cloud-siem-with-sentinel/SKILL.md
界限
界限跟着提示一起走。
- 只采集授权遥测，并尽量减少不必要的个人或密钥数据。
- 限制日志访问与导出，因为日志可能含凭证、标识和调查细节。
- 未经书面批准和可恢复性，不要丢弃或转换源记录。
完成代表
一个可核对的终点。
所有指定关键源报告健康、时间对齐的事件；留存与访问控制通过检查；代表性检测和记录检索测试成功。
来源
这个流程从哪来。
来源确立 workflow 的模式。如有 Reddit 或社区帖子，视为实务轶事，不是普遍事实。
