快速开始
- 1. 当发现不再是孤立事件时，开启 incident。
- 2. 将相关 evidence、tasks 和工件移入事件。
- 3. 利用事件关闭留下可复用的运营经验。
← ADDA 手册
incident-room/1.0.0 · 更新于 2026年7月9日
事件与运营室
如何通过 tasks、evidence 和可追溯响应来开启、协调和关闭事件。
ADDA Incidents 将分散的信号转化为协调响应，其中包含负责人、任务、证据和可见决策。
尽早开启事件并不意味着夸大情况，而是为了整理上下文、避免重复操作，并维护可由其他团队接手的运营历史。
当事件室把 mail、WAF、Access、evidence、reports、tasks、automations 和 manual candidates 汇集到同一工作线程时，它会更有价值。
检查清单
- • 当情况跨越多个模块或需要协调时开启 incident。
- • 在同一流程中分配 tasks 和 evidence。
- • 以可见的状态、经验和后续步骤结束。
运维流程
开启
定义标题、严重程度和范围，无需等待上下文完全完善。
尽早建立工作线程。
编排
根据情况添加 tasks、evidence、reports 或 automations。
集中响应和跟进。
关闭并学习
记录结果、待办事项，以及对手册或产品的改进。
将响应转化为机构能力。
flowchart LR S1["开启"] S2["编排"] S3["关闭并学习"] S1 --> S2 S2 --> S3
验证器与检查
针对当前界面执行上下文分析，并返回以运维为重点的建议步骤。
检查事件覆盖范围
用于开启、升级和关闭响应的运营摘要。
示例
开启事件的 payload
{
"title": "Campaña de phishing contra acceso institucional",
"severity": "red",
"summary": "Se detectan múltiples correos con dominio imitador y presión sobre login."
}链接与参考
常见问题
- • 没有 incident 却从多个视图响应，会产生碎片化痕迹。
- • 在没有 manual candidate 或经验的情况下关闭 incident，会失去已积累的能力。
建议操作
- • 当情况跨越 mail、Access、WAF 或 evidence 时，升级为 incident。
- • 利用关闭流程生成遗留 tasks 或手册改进。
实用 Reason Codes
Score 字典
severity
信号在 ADDA 量表上的机构优先级。
action
引擎建议的下一项运营步骤。
reasonCodes
用于证明评估合理的可解释原因。
协议说明
- • Incidents 负责组织协调，但不会取代各模块的技术判断。
文章历史
2026年7月9日
新增关于 incident room、tasks 和运营学习的文章。