Newshot 
在某个时刻，你的安全防线终将失守。这不是悲观主义。也不是因为你的团队和工具不够精密。这正是我们需要检测能力的根本原因。也正因如此，一旦我们接受防御有其局限，就会转向一种阻截策略：找出并破坏已经潜入的东西。
告警之后
告警告诉你发生了某些事情。然而，获得对你网络的访问权，并不一定意味着攻击者已经窃取数据或破坏了他们的目标系统。他们可能需要获取额外的访问权限、转移到另一台机器，或进一步探索网络。能够看到并理解这些活动，才是干预的机会。
人们在产品评估时自然会倾向于关注检测能力。它们实实在在、易于比较和量化，并且回应了人人都想得到答案的问题：它们能抓住攻击吗？人们常常假设其余部分会随之而来，也就是说，如果检测能力好，那么调查能力肯定也一样好，对吧？
你能否追踪攻击、理解影响范围，并及时响应以进行干预，很大程度上取决于该检测背后的数据。在网络安全领域，一款产品可能拥有出色的检测能力，却仍然让分析师难以开展调查。也许分析师能看到触发告警的那条连接，却无法跟进接下来发生了什么。如果一次搜索没有返回任何结果，这究竟意味着该活动没有发生，还是意味着你没有采集到看见它所必需的证据？
这一点，加上 AI 防御的到来，正是数据质量近来备受关注的原因。
数据与数据
调查的成功需要同时了解攻击者行为和自身环境。你需要明白自己在寻找什么，也需要明白你的数据究竟能告诉你什么。
网络数据的差异会在调查告警时显现出来。浅层数据和丰富数据都能为调查提供一个起点，但其中一种可能迅速走进死胡同。浅层数据往往只由时间戳、IP 和基本连接信息构成。丰富数据保留更多的交互细节并补充上下文。它进行关联，让你能够 pivot 和重建，不仅回答是什么触发了告警，还回答告警之前、之后以及其他位置发生了什么。
要评估一款安全工具的数据质量，可以考虑以下关键问题：
- 提供的是完整的交互细节，还是仅有摘要？
- 是否提供数据包内容或文件提取？
- 我们能回溯搜索多久之前的数据，速度如何？
- 我能否跨主机、跨时间追踪一条连接？
AI <3 数据
由 AI 驱动的 SOC 工具现在能够以人类团队完全无法匹敌的规模处理数据。AI 拥有的数据点越多，它就越能有效地呈现事件。浅层数据限制了 AI 可以关联的内容，而更丰富的数据则让它能够识别跨主机和跨行为的细微模式，有可能揭示此前未曾发现的入侵指标，或在攻击升级之前提供干预的机会。
当遇到不熟悉的东西时，AI 可以提供帮助。没有人了解每一项服务、进程或日志格式。助手可以帮忙解释你正在看的是什么、建议接下来该追查的问题，或编写一个脚本，让大规模数据更易于检查。这可以节省大量研究时间。它还能帮助分析师越过原本会卡住的地方。
但我们显然还没到可以百分之百信任 AI 所说内容的地步。你仍然需要测试它给出的内容。如果助手提出一种解释，检查证据是否支持它。如果它生成查询或脚本，测试它会做什么。在运行建议的命令之前，先问它还可能影响什么。模型可能过于专注于解决眼前问题，而忽略了系统的其余部分。
随着 AI 承担更多调查工作，检查底层证据的能力成为现代数据质量的另一个关键方面。
不熟悉的领域才是考验
在评估来自网络安全产品（尤其是 NDR）的数据时，从演示中取一个告警并认真调查它。但不要遵循引导路径。深入挖掘，让自己进入不熟悉的领域。当分析师处理从未见过的事件时，你会更清楚地了解产品如何帮助他们。
- 查看告警背后的事务
- 询问有哪些数据包内容或提取文件可用
- 按时间向前和向后追踪活动
- 提出一个未被预料到的问题
这些问题和任务可能不会出现在典型演示中。这正是关键所在。它们会让你看到，数据是否提供足够的保真度、覆盖范围和上下文来真正解决调查，还是只是一个无处可去的起点。
检测结果吸引注意力，但数据决定结果。真正的问题是，你的团队能否利用数据全面理解事件并决定该做什么？
关于 Corelight：
你的 AI SOC 的有效性取决于其背后的数据。Corelight 网络检测与响应（NDR）提供开放、透明且可解释的数据——帮助检测规避性威胁、减少分诊时间，并在整个 SOC 中启用 agentic AI。Corelight 的结构化网络证据保留协议级上下文，为调查和 AI 生成更完整的数据集。当分析师和 AI 能够基于证据而非孤立告警或元数据进行推理时，他们就能验证发现、重建活动并得出更可靠的结论。欲了解更多关于 Corelight 的信息，请访问 https://corelight.com/cp/elitedefense