说明：
按信号查看
1. 登录 iOA 零信任管理平台控制台，在左侧导航栏，选择终端防入侵 > EDR > 威胁信号。
2. 在威胁信号页面，支持时间段选择：今天、近7天、近14天、近30天以及自定义时间查询；风险等级下拉框中，选择需要查看的风险等级（严重、高危、中危、低危）。
3. 威胁信号列表页顶部提供风险等级与战术阶段统计，帮助管理员快速掌握威胁态势：
风险等级统计：展示严重、高危、中危、低危各类别信号数量。
战术阶段统计：展示持久化、防御削弱、执行、发现、权限提升等各阶段信号数量。
规则分类：展示内置规则、自定义规则触发的信号数量。
查看威胁信号详情
1. 在威胁信号列表中，单击威胁信号名称，进入威胁信号详情页。管理员可查看单条威胁信号的完整信息，包括基础信息、进程树与影响资产，用于调查取证与事件研判。
2. 进程树：展示攻击行为对应的进程调用链，包含进程名称、PID、用户、提权类型、厂商、签名状态、MD5、文件路径、文件大小、版本、签名者、创建时间及子树告警数等信息。
3. 影响资产：展示受影响的终端信息，包括终端名称、状态、在线状态、资产分类、活跃状态、操作系统等。
威胁信号加白
当确认某条威胁信号属于误报或业务正常行为时，管理员可通过新建白名单规则，将该信号加入白名单，避免重复告警。
1. 在威胁信号列表中，单击目标信号对应的加白操作，或在威胁信号详情页中单击加白。
2. 在弹出的新建白名单窗口中，自定义名称、描述等参数。
3. 在编辑策略区域，配置触发条件，选择行为类型。配置字段与关系条件，单击添加条件或添加条件组可新增条件。
说明：
白名单规则创建后即对符合条件的行为生效，请谨慎配置，避免将真实威胁加入白名单。
规则 ID 为触发该信号的检测规则标识，白名单将作用于该规则下符合触发条件的行为。
4. 单击确定，完成白名单规则创建。
按终端查看
以终端为维度，聚合展示单台终端的威胁信号情况，便于定位重点风险终端。
1. 登录 iOA 零信任管理平台控制台，在左侧导航栏，选择终端防入侵 > EDR > 威胁信号。
2. 在威胁信号页面，选择按终端查看视角，查看终端列表，列表展示触发威胁信号的终端名称、该终端触发的威胁信号数量、威胁信号对应的战术阶段及增量。
3. 管理员可选择威胁信号总数，查看单条威胁信号的完整信息，包括基础信息、进程树与影响资产，用于调查取证与事件研判。
4. 当确认某条威胁信号属于误报或业务正常行为时，管理员可通过新建白名单规则，将该信号加入白名单，避免重复告警。详情请参见威胁信号加白。
5. 创建自动响应策略请参见自动响应。
