适用场景
安全运营最怕"感觉很忙但说不出成果"。用指标把工作量化，向上汇报有依据，向下改进有方向。
配置步骤（指标体系设计）
# 覆盖率：终端 EDR 覆盖、服务器 HIDS 覆盖、日志接入率
# 检测：日均告警、有效告警率、MTTD（平均发现时长）
# 响应：MTTR（平均处置时长）、闭环率
# 合规：高危漏洞闭环率、补丁合规率、演练次数关键参数与建议
- 覆盖类：终端/服务器/网络设备防护覆盖率、日志接入率
- 检测类：告警量、有效告警比例、MTTD
- 响应类：MTTR、处置闭环率、误报率
- 合规类：漏洞闭环率、补丁合规率、演练完成情况
- 周报：异常事件、处置进展、风险提示、下周计划
容易踩的坑
- 只统计告警总数，无法评估能力
- 指标无口径定义，前后不可比
- 只统计不改进，指标长期不变
验证与巡检
# 证据：指标定义文档 + 月度趋势表- 巡检：指标口径稳定、趋势有改善
小结
安全运营指标的验收：连续三个月有数据、有趋势、有改进动作。没有趋势的指标只能说明"在统计"，不能说明"在改进"。
> 说明：文中命令为通用写法，不同型号/版本可能略有差异，落地前请对照设备实际版本的官方文档；带外管理与安全设备变更建议先在测试设备验证。