XDR 功能分类
更新时间：2026-08-07
将 XDR 功能按比赛优先级分为三档。
P0 = 首链路必须理解，P1 = 主链跑通后研究，P2 = 当前只认识不操作。
当前最小页面观察范围
⚠️ 本阶段只做最小范围的只读页面观察，目的是为技术答疑提供事实依据，不做任何写入操作。
数据源层
- 自有产品
- 第三方产品
- 数据质量分析
- 代理配置
- 探针管理
安全数据层
- 日志检索
- 安全告警分析
- 安全事件处理
- 风险主机分析
- 资产总览
- 漏洞和弱密码
AI 能力层
- AI 共创
- 系统工具
- 网络安全数据查询
- MCP 能力详情
系统状态层
观察记录内容
只记录：
- 页面是否存在
- 当前数量
- 时间范围
- 数据来源
- 空状态提示
- 当前账号权限
观察禁止操作
禁止：
- 新增数据源
- 编辑设备
- 生成或复制接入码
- 创建对外 MCP 服务
- 修改响应策略
- 执行封禁、隔离和处置
- 上传样本
- 注入日志
P0 — 首链路必须理解
这些功能直接关系到我们能不能跑通第一条链路。
产品接入
| 项目 | 说明 |
|---|
| 作用 | 管理接入 XDR 的设备（STA、EDR、AF 等） |
| 输入 | 设备注册信息 |
| 输出 | 设备列表、在线状态、上报状态 |
| 和 STA 关系 | 确认 STA 是否已接入并在线 |
| 和 FastGPT 关系 | 无直接关系 |
| 是否有副作用 | 无（只读查看） |
| 当前状态 | 👁 页面可访问，存在 EDR_001 配置（未接入） |
| 下一步观察 | 最小页面观察：确认所有已配置数据源的状态 |
探针管理
| 项目 | 说明 |
|---|
| 作用 | 管理 STA 探针的配置和状态 |
| 输入 | 探针注册 |
| 输出 | 探针在线状态、版本、检测能力 |
| 和 STA 关系 | 直接管理 STA |
| 和 FastGPT 关系 | 无直接关系 |
| 是否有副作用 | 无（只读查看） |
| 当前状态 | ❓ 待确认，尚未发现可用 STA/vSTA |
| 下一步观察 | 确认探针是否在线、是否能回放 PCAP |
日志检索
| 项目 | 说明 |
|---|
| 作用 | 搜索和查看安全日志 |
| 输入 | 时间范围、关键词、设备类型 |
| 输出 | 日志条目列表 |
| 和 STA 关系 | STA 上报的日志在这里查看 |
| 和 FastGPT 关系 | FastGPT 通过 MCP 查询日志 |
| 是否有副作用 | 无（只读查询） |
| 当前状态 | ❓ 链路未实测，需检查是否已有数据 |
| 下一步观察 | 最小页面观察：检查是否有数据、数据来源、时间范围 |
安全告警分析
| 项目 | 说明 |
|---|
| 作用 | 查看和分析安全告警 |
| 输入 | 日志经过规则匹配 |
| 输出 | 告警列表（来源 IP、时间、类型、严重度） |
| 和 STA 关系 | STA 检测结果可能触发告警 |
| 和 FastGPT 关系 | FastGPT 通过 MCP 查询告警进行研判 |
| 是否有副作用 | 无（只读查询） |
| 当前状态 | 📘 官方资料确认能生成告警，实机待验证 |
| 下一步观察 | 最小页面观察：检查是否有告警数据 |
安全事件处理
| 项目 | 说明 |
|---|
| 作用 | 查看和调查安全事件（多告警聚合） |
| 输入 | 多条相关告警 |
| 输出 | 事件列表、攻击故事线 |
| 和 STA 关系 | 间接相关（通过告警聚合） |
| 和 FastGPT 关系 | FastGPT 可查询事件进行研判 |
| 是否有副作用 | 无（只读查询） |
| 当前状态 | 📘 官方资料确认能生成事件，实机待验证 |
| 下一步观察 | 最小页面观察：检查是否有事件数据 |
资产中心
| 项目 | 说明 |
|---|
| 作用 | 管理网络中的设备清单 |
| 输入 | STA/EDR/扫描器发现的设备 |
| 输出 | 资产列表、资产详情 |
| 和 STA 关系 | STA 可发现网络资产 |
| 和 FastGPT 关系 | FastGPT 可查询资产作为研判上下文 |
| 是否有副作用 | 无（只读查看） |
| 当前状态 | 📘 官方资料确认，实机待验证 |
| 下一步观察 | 最小页面观察：检查是否有真实资产 |
开放共享 / MCP / OpenAPI
| 项目 | 说明 |
|---|
| 作用 | 提供 AI 查询 XDR 数据的接口 |
| 输入 | 查询请求 |
| 输出 | 日志、告警、事件、资产等数据 |
| 和 STA 关系 | 无直接关系 |
| 和 FastGPT 关系 | FastGPT 通过 MCP 调用 XDR |
| 是否有副作用 | 无（只读查询） |
| 当前状态 | 📘 官方资料确认 MCP 和 129 个 OpenAPI，实机待验证 |
| 下一步观察 | 最小页面观察：确认 MCP 是否已绑定当前 XDR、是否有有效数据权限 |
FastGPT 相关入口
| 项目 | 说明 |
|---|
| 作用 | AI 工作流配置和展示 |
| 输入 | XDR 数据（通过 MCP） |
| 输出 | 研判报告 |
| 和 STA 关系 | 无直接关系 |
| 和 FastGPT 关系 | 就是 FastGPT 本身 |
| 是否有副作用 | 无（只读分析） |
| 当前状态 | ❓ 联调未完成 |
| 下一步观察 | 确认 FastGPT 能读取哪些字段 |
P1 — 主链跑通后研究
这些功能在首条链路跑通后再深入研究。
风险主机
| 项目 | 说明 |
|---|
| 作用 | 识别高风险主机 |
| 输入 | 告警、漏洞、资产数据 |
| 输出 | 风险主机排名 |
| 和 STA 关系 | 间接相关 |
| 和 FastGPT 关系 | 可作为研判上下文 |
| 是否有副作用 | 无（只读） |
| 当前状态 | ❓ 未研究 |
| 下一步观察 | 主链跑通后研究 |
脆弱性
| 项目 | 说明 |
|---|
| 作用 | 管理系统弱点清单 |
| 输入 | 扫描器数据 |
| 输出 | 漏洞列表 |
| 和 STA 关系 | 无直接关系，主要来自扫描器 |
| 和 FastGPT 关系 | 可作为研判上下文 |
| 是否有副作用 | 无（只读） |
| 当前状态 | ❓ 未研究 |
| 下一步观察 | 主链跑通后研究 |
资产体检
| 项目 | 说明 |
|---|
| 作用 | 评估资产安全健康状态 |
| 输入 | 资产数据 |
| 输出 | 体检报告 |
| 和 STA 关系 | 无直接关系 |
| 和 FastGPT 关系 | 可作为研判上下文 |
| 是否有副作用 | 无（只读） |
| 当前状态 | ❓ 未研究 |
| 下一步观察 | 主链跑通后研究 |
AI 学习中心
| 项目 | 说明 |
|---|
| 作用 | XDR 内置的 AI 学习和训练 |
| 输入 | 历史数据 |
| 输出 | 检测模型优化 |
| 和 STA 关系 | 无直接关系 |
| 和 FastGPT 关系 | 无直接关系 |
| 是否有副作用 | 可能影响检测规则 |
| 当前状态 | ❓ 未研究 |
| 下一步观察 | 主链跑通后研究 |
自定义安全能力
| 项目 | 说明 |
|---|
| 作用 | 自定义检测规则和响应策略 |
| 输入 | 规则配置 |
| 输出 | 自定义检测能力 |
| 和 STA 关系 | 可能影响 STA 检测结果 |
| 和 FastGPT 关系 | 无直接关系 |
| 是否有副作用 | ⚠️ 有（修改检测规则） |
| 当前状态 | ❓ 未研究 |
| 下一步观察 | 主链跑通后研究，当前不修改 |
知识库
| 项目 | 说明 |
|---|
| 作用 | 安全知识管理 |
| 输入 | 知识条目 |
| 输出 | 知识查询 |
| 和 STA 关系 | 无直接关系 |
| 和 FastGPT 关系 | 可能被 FastGPT 引用 |
| 是否有副作用 | 无 |
| 当前状态 | ❓ 未研究 |
| 下一步观察 | 主链跑通后研究 |
流程工单
| 项目 | 说明 |
|---|
| 作用 | 安全事件的工单管理 |
| 输入 | 告警/事件触发 |
| 输出 | 工单流转 |
| 和 STA 关系 | 无直接关系 |
| 和 FastGPT 关系 | 无直接关系 |
| 是否有副作用 | ⚠️ 有（创建工单） |
| 当前状态 | ❓ 未研究 |
| 下一步观察 | 主链跑通后研究 |
P2 — 当前只认识，不操作
这些功能当前禁止操作，只需要知道它们存在。
| 功能 | 说明 | 当前状态 |
|---|
| 智能对抗 | 主动防御能力 | 🚫 当前不操作 |
| 封禁地址 | 封锁恶意 IP | 🚫 当前禁止 |
| 隔离主机 | 隔离受感染主机 | 🚫 当前禁止 |
| 阻断进程 | 终止恶意进程 | 🚫 当前禁止 |
| 处置文件 | 处理恶意文件 | 🚫 当前禁止 |
| 病毒扫描 | 全盘病毒扫描 | 🚫 当前不操作 |
| 自动 SOAR | 自动响应剧本 | 🚫 当前禁止 |
| 大屏/绩效/运营配置 | 展示和运营管理 | 🚫 当前不操作 |
常见误区
- ❌ “XDR 能自动响应所以应该用” → 当前禁止 SOAR 自动执行。
- ❌ “STA 产生漏洞数据” → 脆弱性主要来自扫描器，不是 STA。
- ❌ “XDR 的所有接口都能用” → 有接口不等于有权限；写接口当前禁止。
相关链接