海量告警里捞出“真”威胁｜罩妖镜NDR V3.1发布

　　/传播易/继上月重磅发布唐槐罩妖镜NDR V3.0之后，2026年9月10日，罩妖镜正式升级至V3.1版本。

　　本次升级，直指安全运营实战痛点——让告警海啸退潮，让“真威胁”浮出水面。

　　一、告警治理引擎：不再大海捞针

　　V3.1新增的告警治理引擎，是这次升级的主角。它从三个环节给告警"做减法"：

　　四维评分，真威胁自动置顶

　　每条告警按严重度/影响度/危机度/置信度四个维度算出综合分(0-100)，自动定级严重/高危/中危/低危/，一线运营人一眼就能看到“真威胁”。

　　全局去重，高危永不沉默

　　“签名、源/目的IP+目的端口+攻击类型”多维度去重，窗口阈值随便配。但勒索病毒这类关键告警有"免死金牌"——严重级与勒索/病毒/C2 等关键类别告警不被去重，被抑制的每条告警也都完整留痕，回溯时证据一条不丢。

　　攻击链视图，帮你看清告警上下文

　　围绕当前告警，自动关联同源 IP 相关告警，按 MITRE ATT&CK战术阶段归位排布;同时给出命中规则、检测特征与初步处置建议，辅助研判人员快速还原攻击上下文、判断事件严重性，并关联原始流量标识以便进一步取证。

　　二、远程集中运维：1人服务50家客户

　　MSSP同行都懂的痛：客户设备部署在内网，没有公网IP，想看一眼告警要么求客户开放端口、要么拉专线、要么用第三方远控提心吊胆。

　　V3.1给出的方案是VPN反向连接：

　　· 探针主动出站：设备在NAT后面主动连回控制面完成注册，客户不用公网IP、不用端口映射、不开任何入站端口，管理面在公网完全隐身

　　· 控制面自托管：基于WireGuard加密隧道，控制面部署在运营方自己环境里，私有化自主可控，数据全程不出域

　　· 统一集中运维：Web 统一运维门户，免客户端，一键直达设备管理，无需多 VPN 切换

　　· 最小权限：ACL只放管理员到设备管理端口的访问，设备之间默认隔离

　　· 断网不影响检测：组网挂了，本地检测告警照常跑，远程管理和检测链路完全解耦

　　1个人负责50家客户运营，终于不用在五个VPN客户端之间来回切了。

　　三、自定义IOC：你的情报你做主

　　以前拿到一批威胁情报，流程是这样的：导出、整理、转成规则格式、联系厂商、等更新、重启设备——黄花菜都凉了。

　　V3.1把这条路压缩成三步：

　　· 批量导入：支持IP、域名、Hash，STIX 指标(indicator)导入，异步处理进度可查

　　· 一键同步探针：自动生成规则、热加载，不重启设备

　　· 运营可控：启停管理、格式校验、唯一性冲突检测全有，重复情报自动拦住

　　四、底层架构：大流量不堵不卡

　　· 告警与元数据分流处理：高优先级告警与海量元数据分开流转、独立处理，互不排队、重保和大流量场景下告警依然及时可达

　　· 高并发并行处理：多路并行吞吐，支撑大流量稳定运行，避免单点串行瓶颈

　　· 规则变更全程留痕：每一次规则启停都有据可查，满足合规审计要求

　　同时，六脉引擎六大专项检测能力继续增强：勒索病毒检测、挖矿行为检测、弱口令检测、违规翻墙检测、自动化攻击检测、违规访问检测覆盖C2通信、TLS指纹、矿池协议等深度特征;病毒特征库实时识别恶意文件传播。

　　罩妖镜NDR V3.1：告警降噪、远程触手可达、情报秒上——让安全人的精力，只花在真威胁身上。