工单管理

工单管理把告警、搜索发现或其他待办，变成可分派、可跟踪的任务。面向 SOC 值班与跨团队协作：一人发现，多人跟进，过程可审计。工单常挂在告警应用或独立 工单 菜单下，与 告警 双向关联。

版本说明（2.4）：当前产品文档版本。内容以 2.4 环境为准。

你能做什么

• 从告警或安全数据搜索结果一键创建工单
• 手工新建工单，并指派给用户、部门或用户组
• 更新处置状态、填写说明（评论），形成处理过程记录
• 按状态、处置人、优先级筛选；完成后关闭或归档
• 在工单详情中回溯来源告警与操作人、时间
• 值班交接时通过状态、评论与优先级快速接手未结事项

开始之前

• 账号具备「工单」相关权限（查看、新建、处置、归档）
• 菜单路径（常见）：安全运营 → 工单管理 或 工单（以界面为准）
• 处置人账号已在平台存在，且能登录接收待办
• 若从告警转入：告警列表中已有可勾选的事件（见 告警）
• 关键状态变更与说明会写入处理过程时间线，便于值班交接与复盘
• 通知通道（邮件/站内）若需提醒处置人，先在 系统管理 中确认可用

常用操作

1. 从告警创建工单

1. 打开 告警管理 → 事件告警，勾选需要跟进的告警
2. 选择 创建工单（或单条告警详情中的同等动作）
3. 填写工单名称、描述、优先级；指定指派对象（用户 / 部门 / 组）
4. 确认后，在 工单管理 列表中可见新工单，并保留来源告警 ID 或链接
5. 若同一事件需拆分为多团队任务，可建多条工单并在描述中互相关联
6. 创建后通知处置人（若平台支持），避免工单滞留无人认领

也可在 安全数据搜索 结果中对选中事件执行创建工单，流程相同；建议在描述中粘贴查询时间窗与关键字段。

2. 新建并分派工单

1. 打开 工单管理（菜单：工单）
2. 点击 新建工单
3. 填写名称、描述、优先级与初始状态（常见：新建 / 待处理）
4. 选择指派分类与指派对象，保存
5. 处置人可在待办或工单列表中打开该单继续处理
6. 跨部门事项在描述中写清期望完成时间与验收标准
7. 高优先级工单建议同时 @ 或通知值班负责人

3. 处置、评论与审计

1. 在工单列表中筛选状态、处置人或优先级，定位目标工单
2. 勾选工单，点击 处置工单 或进入详情页编辑
3. 更新指派对象（可转交）、处置结果，并填写处置说明（评论）
4. 每条说明会出现在工单 处理过程 时间线中，含操作人与时间戳
5. 重大进展（隔离主机、重置密码、补丁安装）应分条记录，便于审计
6. 避免在评论中粘贴未脱敏密码或完整个人身份信息
7. 转交时注明原因与下一责任人，减少空窗期

4. 关闭与归档

1. 事项结束后将状态置为已关闭或同等终态
2. 关闭前确认：根因已处理或已移交长期项目跟踪
3. 无需再跟进但需留痕时，可 归档工单 并填写归档原因
4. 若来源为 告警，回到告警侧将对应事件标为「已处置」，保持状态一致
5. 周期性复盘：统计关闭时长、超时单、重复开单原因

5. 值班交接

1. 交班前导出或筛选「未关闭 + 高优先级」工单列表
2. 对每条简要说明：当前进展、阻塞点、下一动作与联系人
3. 接班人在工单 处理过程 中追加一条「已接班」说明（以团队规范为准）
4. 与 系统管理 中的值班表或用户组配置对照，确保指派对象有效
5. 狩猎或搜索侧未转工单的口头待办，应补建工单避免遗漏

参数说明（工单字段）

勿在文档、截图或工单中填写真实生产密码、客户公网 IP 或未脱敏连接串。

常见问题（本模块）

1. 现象：从告警创建了工单，但处置人看不到待办 → 原因：指派对象错误、用户无工单权限，或通知未送达。 → 处理：核对指派组与成员；在系统管理中查权限；改派并手动通知。

2. 现象：工单已关闭，告警仍显示未处置 → 原因：两侧状态未同步，或关闭了错误关联单。 → 处理：在告警详情确认关联工单 ID；关闭工单后手动更新告警状态。

3. 现象：处理过程缺少评论，审计不完整 → 原因：团队习惯只改状态不写说明。 → 处理：将「每条状态变更附简短说明」写入值班规范；复盘抽查。

4. 现象：同一事件重复建多条工单 → 原因：多班次未查重、告警批量操作未沟通。 → 处理：创建前按来源告警 ID 或实体搜索已有工单；合并或关联重复单。

如何确认成功

• 告警或发现已对应到一条工单，列表可检索
• 处置人正确，状态按「新建 → 处置中 → 关闭/归档」流转
• 处理过程中能看到说明与时间，责任可追溯
• 值班交接时，下一班能根据工单状态与评论继续跟进
• 关闭后来源 告警 状态与工单一致
• 高优先级工单在预期 SLA 内有进展记录

相关文档

• 告警
• 安全数据搜索
• 威胁狩猎
• 系统管理

:::caution 本文档仅供在线浏览，不提供源文件或整包下载。 :::