WHAT HAPPENED：告警是什么意思
一条告警通常包含触发规则、涉及的资产（用户、设备、地址）和触发时间。理解一条告警，第一步是搞清楚它对应的具体规则在检测什么——是登录异常、进程异常，还是流量异常，不同类型的告警需要核查的方向完全不同。
WHY：怎样判断误报
误报通常来自"规则过于宽泛"或"缺少上下文"两种原因。判断一条告警是不是误报，建议结合触发它的用户是否有正当理由做这件事（比如出差、临时项目需要）、设备是否是该用户的常用设备、行为是否符合历史规律。单看告警本身很难判断，需要拉出更多背景信息一起看。
EVIDENCE：异常登录怎么查
核查登录地点、设备指纹、登录时间是否符合该用户的正常作息、多因素认证是否顺利完成，再结合登录后的实际操作行为（访问了什么系统、有没有异常的数据操作）综合判断，具体步骤见异常登录核查步骤图。
EVIDENCE：异常网络流量怎么查
先确认流量的目标地址是否可信、发起流量的进程是否是已知程序、这类流量是否具有周期性规律（比如定期备份）、以及类似流量在历史记录中是否出现过。流量数值本身的大小不是唯一判断依据。
EDR报警怎么看，NDR异常怎么看
EDR报警通常需要关注具体的进程行为——是否是已知合法程序、是否有异常的文件读写或网络连接发起动作；NDR异常需要关注流量的通信对象和模式，是否连接了不寻常的外部地址、通信频率是否偏离常规。两者报告的角度不同，同一个事件不一定会同时触发，具体区别见伟德国际设备。
AI安全助手建议可靠吗
AI助手的建议应当附带判断依据和证据，而不是只给一个结论。可靠的使用方式是：把AI的建议当作"经过初步整理的调查线索"，由人工复核证据是否充分，再决定是否采纳建议中的处理动作，尤其是涉及限制权限、隔离设备这类高影响力操作时，不建议完全依赖AI的单次判断。
自动封禁什么时候危险
当置信度不高、影响范围大、且操作不容易快速恢复时，自动封禁的风险就会明显上升——比如误封了关键业务账号，可能造成比原本风险更严重的业务中断。建议只在证据充分、影响范围有限、且容易撤销的场景下，才考虑允许系统自动执行响应动作。