JH-019 · 全文 觀察意圖：學相關：JH-010 · JH-052 · JH-011 · JH-012 · JH-013 · JH-014 · JH-015 · JH-016 · JH-017 · JH-018 · JH-054 · JH-002 · JH-001 · JH-009

AI Agent 做 SOC 警報分診，唔等於已確認攻擊或已封鎖：轉職資安要識嘅分診單同封鎖令

公司話有 AI Agent 可以「自動分診 SOC 警報、掛晒 MITRE、建議封鎖」，唔等於已經確認真實攻擊，或者已經做咗 containment／封鎖同結案；出嚟嘅係分診單，有執行效力嘅係對住 playbook、經人覆核嘅封鎖令同升級決定。呢頁拆晒想轉職資安／SOC 嘅人要識嘅三欄核對，同埋你真正要練嘅四層技能——唔背平台廣告，都唔重複醫療 SOAP／分診嗰篇嘅臨床場景。

• 3 欄核對

  公司准唔准、有冇書面分診／升級 playbook、邊個人覆核後先做 containment／通報——缺一欄就唔好當分診單等於封鎖令

  流程

• 分診單 ≠ 封鎖令

  Agent 掛標籤、建議優先級；確認攻擊、封鎖同通報仲喺你同獲授權同事

  界線

• MITRE 標籤 ≠ 已確認

  AI 標『T1059』唔代替你對住日誌同 playbook 覆核；留低邊個改、邊個升級

  做法

你問

AI Agent 做 SOC 警報分診係做咩？

讀警報同相關上下文，建議 MITRE 技術標籤、優先級同升級路徑；出嚟嘅係分診單，唔係替你決定封鎖定結案。

點做

我而家要識咩？

分清分診單同封鎖令：准唔准用、有冇分診／升級 playbook、邊個人覆核後先封鎖。缺一欄就停。

睇完整答案

你問

AI 掛咗 MITRE 標籤，咪等於已經確認真實攻擊囉？

唔係。CISA 強調映射要先搵行為、再研究脈絡；偵測階段仲要將可疑活動同授權維護對消。標籤係假設，確認同遏制係人同流程。³,⁴

點做

咁仲用唔用？

用嚟加快第一輪標籤同優先級建議可以；用嚟代替覆核、封鎖同通報唔得。

睇完整答案

你問

可唔可以將真實警報、IOC、客戶名貼入公開 AI？

多數唔得。警報載有系統、帳戶同可能個人／商業資料，公司政策同私隱先；未獲准就唔好貼。做法睇邊啲資料唔好貼嗰篇、公司未訂 AI 規範嗰篇。¹¹

點做

想試工具點做？

只用公司准用嘅受控平台，或者用虛構警報練手。

睇完整答案

你問

想轉 SOC／資安分析，最緊要練咩？

讀警報、對 MITRE、改錯寫理由、守准用同升級——唔係背邊個 SIEM／SOAR 名。

點做

點樣證明自己識？

用「問題、做法、結果」寫一件你覆核過嘅分診例子（虛構都得）；寫法睇盤點技能嗰篇。

睇完整答案

AI Agent 做 SOC 警報分診，係掛標籤同建議優先級，唔係替你確認攻擊、封鎖或者結案

先講清楚呢類工具做咩，免得你以為標籤完就等於可以封鎖。

警報分診（alert triage）即係為警報分類、評優先級、判斷有冇到達「可宣告事故」門檻嘅第一步分析。⁵ AI Agent（可自動跑多步嘅警報標籤／優先級／升級建議工具）喺入面做幾步：讀警報字段、建議 MITRE 技術標籤、定優先級、建議升級路徑、輸出一份分診單。MITRE ATT&CK 係基於真實觀察嘅對手戰術同技術知識庫，用嚟對齊偵測同應變——但知識庫本身唔替你確認「呢條警報就係攻擊」。¹,²

CISA 映射指引寫明：要先搵對手行為、再研究脈絡、再映射到技術；映射準確先有用嚟做偵測、應變同緩解。³ 換句話講，標籤可以錯、脈絡可以唔夠；模型訓練時常見嘅「標準警報」，唔等於你手上呢條。

呢度有條硬界線：掛標籤、建議優先級、出分診單，係輔助；確認攻擊、做 containment、對外通報、結案，係你同獲授權同事。NIST 將 human oversight 寫落 AI 風險管理。⁷ 醫療 SOAP／分診嗰篇講嘅係臨床場景；呢頁講嘅係資安警報同 MITRE——可以互連，但唔好當同一篇。

先問准唔准：公司准用邊個工具、邊啲警報同日誌可以離開受控環境

上一段講咗佢做咩，下一步唔係上傳真實警報，係問准唔准。

私隱專員公署指引清單叫機構訂准用工具、可輸入咩、輸出點用、僱員核對準確度。¹¹ 資安場景仲要加兩句：邊個受控平台准讀警報同日誌？可唔可以連 IOC、客戶名、內部主機名一齊貼？

你要問清五句：

1. 准唔准用 AI 做 SOC 警報分診／MITRE 標籤建議？
2. 用邊個帳號、邊個核准平台（內部 SOAR／獲批供應商定絕對唔准公開 AI）？
3. 准用咩數據（虛構樣本／已刪走敏感資料嘅字段／絕對唔准真實 IOC 同客戶名）？
4. AI 分診可唔可以直接當「已確認／已可封鎖」，定一定要人手覆核？
5. 出問題邊個負責——平台商、SOC 主管定 IR 負責人？

「好多 SOAR 都話 AI 自動分診」唔等於你呢間公司准你貼真實警報入公開工具。真實警報只留喺公司准用平台；想自己練手感，用虛構警報。刪走敏感資料嘅方法睇 邊啲資料唔好貼嗰篇；公司未講政策，開口方法睇 公司未訂 AI 規範嗰篇。

香港電腦保安事故協調中心（HKCERT）有中小企事故應變指引同事故通報入口；^9,10 呢條同 AI 准用係兩件事：有通報渠道唔等於准你將警報貼入私人 ChatGPT。

冇書面分診／升級 playbook（優先級、假陽性、升級邊個批），AI 只係估「邊條似緊要」

准用咗，仲要有對齊點。冇分診／升級 playbook，Agent 就係用「訓練時常見警報」估你呢條邊啲緊要。

CISA CRR 寫明 triage 要分類、評估、判斷事故門檻；門檻視乎組織任務同法規。⁵ CISA 事故 playbook 都要求有程序將潛在事故同授權活動對消——例如確認「遙距管理工具」唔係 IT 同事做更新。⁴ NIST SP 800-61r3 將應變建議嵌入 CSF 2.0 風險管理，重點係準備、偵測、應變同復原要一齊設計，唔係事到臨頭先估。⁶

示範（虛構）：阿俊喺中小企做 IT helpdesk，公司 SOC 外包加內部值班，上司畀佢試公司准用嘅警報分診 Agent。佢哋分診／升級 playbook 先寫清五格：

格	手冊寫低	Agent 只准做
優先級	嚴重性×資產關鍵度；有版本號	輸出建議優先級＋字段出處；標「未覆核」
假陽性	已知掃描、授權維護窗口	輸出可能假陽性理由；禁止寫「一定係攻擊」
MITRE 映射	只建議到 technique；要寫對應行為	輸出建議 ID＋行為摘要；禁止寫「已確認」
升級	邊類技術／邊類資產一定升級畀邊個	輸出升級建議；禁止自動開票結案
containment	邊個可批隔離主機／停帳戶	輸出「建議動作」；禁止執行封鎖

Agent 標出「建議 T1059、優先級高、建議升級」先有意思——因為對住「MITRE 映射」同「升級」兩格。如果手冊空白，佢寫一句「高危，建議即刻封鎖」，你仲唔知對住邊條準則、邊個有權拍板。

今日夠用嘅起步：只寫五格。唔好等「完美 playbook」先開工。

人覆核先做 containment 同留底；分診單 ≠ 封鎖令，MITRE 標籤 ≠ 已確認攻擊

有准用、有手冊，仲差最後一欄：人。

CISA playbook 將 containment 放喺偵測與分析之後；錯封鎖一樣可以整停業務。⁴ NCSC 都將事故管理當成要跟流程嘅工作，唔係單一工具按鈕。⁸

封鎖前覆核清單就係：

1. 字段——分診每一格對唔對到警報同日誌？有冇漏時間窗、漏相關主機？
2. playbook——Agent 用緊邊個版本嘅優先級同升級規則，係咪最新？
3. 標籤——有冇超出手冊，例如自己寫「已確認攻擊／已可封鎖」？
4. 授權——邊個有權做 containment？要唔要升級 IR／管理層？
5. 留底同通報——邊個模型版本、邊個改、邊個理由；對外通報跟公司定 HKCERT 邊條流程。^9,10

1. 問准唔准

   邊個平台准用、邊啲警報、日誌同 IOC 可以離開受控環境。未問清楚就唔好貼真實警報。¹¹

2. 搵分診／升級 playbook

   有冇書面優先級、假陽性、升級同 containment 授權？冇就唔好叫 Agent『幫你決定封鎖』；先寫五格。⁴,⁵

3. 揀低風險樣本

   用虛構警報；真實警報只喺公司准用平台入面試，唔貼公開 AI。

4. 跑一輪分診

   叫 Agent 只輸出：用咗邊啲字段、建議邊個 MITRE 技術、優先級、升級建議、信心同『未覆核』標記；禁止佢輸出『已確認攻擊／已封鎖／已結案』。

5. 人覆核先封鎖

   對住日誌同 playbook 覆核、改錯、寫理由；containment 同對外通報要有獲授權嘅人。分診單唔等於封鎖令。³,⁶,⁷

靜態後備（無 JS／搜尋用）：問准唔准 → 搵分診／升級 playbook → 揀低風險樣本 → 跑一輪分診 → 人覆核先封鎖。

想轉資安／SOC，要練嘅係讀警報、對 MITRE、改錯寫理由、守准用同升級，唔係背平台名

三欄核對係用法；轉職要交嘅係技能。平台名明年會換，四層唔會空。

層	你做得到畀人睇嘅	面試一句
讀	分到來源、主體、時間窗、相關日誌	「我可以講出呢個判斷對住邊段字段」
對	建議 MITRE 對行為；捉錯映射同假陽性	「我發現標籤對唔上呢段進程樹」
改	改錯並用書面理由記低，唔抄 Agent 一句「建議封鎖」	「我寫低點解將優先級由高改做要升級先睇」
守	准用平台、唔貼公開 AI、封鎖前人覆核	「分診幾齊，containment 前一樣要人批」

呢四層，對應你帶得走嘅技能，唔係某個 SIEM／SOAR 證照。做 helpdesk、做 IT 支援、做系統行政嘅人，「讀日誌、捉異常、寫交接」本身已經係日常；差嘅只係換上 MITRE 同 IR 詞彙。想逐項盤點點寫落經歷，接住睇 盤點技能嗰篇。某家平台值唔值得學、要唔要自己 set，返去 值唔值得用嗰篇 同 設定插件嗰篇。垂直系列前八篇係 合約紅線嗰篇、多平台目錄嗰篇、KYC／AML 嗰篇、醫療 SOAP／分診嗰篇、物流 B/L 三單嗰篇、履歷盲審嗰篇、工廠 IoT 預測性維護嗰篇、租約摘要嗰篇——同一套「准用／書面手冊／人覆核」邏輯，換咗場景；本頁主隱喻改做「分診單」，唔再套舊公式。邊啲 AI 任務先值得做，可一併睇 搵個人 Why 嗰篇。

今日只做一件：用虛構警報做完分診單自檢

技能表睇完，唔好只收藏。今日只做一件。

分診單自檢（每條：有／部分／未有）

項目	狀態	點解
我已經問過上司／資安主管／IR 負責人：准唔准用 AI 幫你做警報分診、用邊個受控平台	危險	未問就唔好貼真實警報、IOC、客戶名、內部主機名。11
我哋有書面分診／升級 playbook，或者我至少寫咗五格：優先級、假陽性、升級、可關閉、containment 邊個批	危險	冇書面規則，Agent 只係估『邊條似緊要』。4,5
試用數據係虛構警報，冇真實 IP、雜湊、帳戶、客戶或事故名	危險	做法跟邊啲資料唔好貼嗰篇。
我要求 Agent 輸出『字段出處＋MITRE 建議＋優先級＋升級建議＋信心＋未覆核』，唔要一句『已封鎖』	要留意	格式唔清，你之後好難對 playbook 同留底。3,7
每一個確認攻擊、containment、對外通報決定都有人覆核；AI 冇權代表我封鎖	危險	人先負責；有需要跟公司 IR 同 HKCERT 通報流程。4,9,10
我記低咗邊個改、用邊個模型版本、對住邊條警報、理由係咩；結案同事後檢討另計	要留意	出事要追，冇底就無得講；結案唔係 AI 分診嘅一部分。6,8

點樣讀表：

• 「准唔准」或者「樣本」未有： 今日只做問人同揀虛構警報，唔好貼真實警報。
• 「分診／升級 playbook」未有： 寫五格就收工。
• 全部有： 用虛構警報跑一輪分診，親自對字段、改錯、記低邊條 Agent 講錯——仲唔做真實封鎖。

你問，我答

AI Agent 做 SOC 警報分診，係掛 MITRE 標籤同建議優先級，唔等於已確認真實攻擊、已封鎖或者已結案。分診單唔等於封鎖令。轉職資安要過三欄核對：公司准唔准、有冇書面分診／升級 playbook、邊個人覆核後先做 containment／通報；要練嘅係讀警報、對 MITRE、改錯寫理由同守准用同升級。

• 讀讀警報：分到來源、主體、時間窗、相關日誌——寫得出『呢個判斷對住邊段字段』
• 對對 MITRE：建議技術對唔對到觀察到嘅行為；捉錯映射同假陽性——畀標籤有對齊點
• 改改錯同寫理由：刪錯標籤、改優先級、記低點解升級——人覆核先算完成
• 守守准用同升級：准用平台、唔貼公開 AI、封鎖前人覆核——出事先有得講

參考

1. MITRE ATT&CK 官方（對手戰術與技術知識庫；核對日期 2026-11-07）.
2. MITRE ATT&CK. Enterprise Matrix（核對日期 2026-11-07）.
3. CISA. Best Practices for MITRE ATT&CK Mapping（行為→脈絡→映射；核對日期 2026-11-07）.
4. CISA. Federal Government Cybersecurity Incident & Vulnerability Response Playbooks（偵測與分析、containment、同授權活動對消；核對日期 2026-11-07）.
5. CISA. CRR Supplemental Resource Guide, Volume 5: Incident Management（triage＝分類／評估／事故門檻；核對日期 2026-11-07）.
6. National Institute of Standards and Technology. NIST SP 800-61 Revision 3（2025-04），Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile（核對日期 2026-11-07）.
7. National Institute of Standards and Technology. Artificial Intelligence Risk Management Framework (AI RMF 1.0), NIST.AI.100-1（2023-01）（核對日期 2026-11-07）.
8. UK National Cyber Security Centre. Incident management collection（含 cyber incident response processes；核對日期 2026-11-07）.
9. 香港電腦保安事故協調中心（HKCERT）. Incident Response Guideline for SMEs（核對日期 2026-11-07）.
10. HKCERT. 保安事故自助指引 FAQ（核對日期 2026-11-07）.
11. 個人資料私隱專員公署（2025-03-31）. 僱員使用生成式 AI 的指引清單（新聞稿＋PDF）（核對日期 2026-11-07）.