> For the complete documentation index, see [llms.txt](https://yeasy.gitbook.io/ai_security_guide/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://yeasy.gitbook.io/ai_security_guide/di-san-bu-fen-fang-yu-pian/10_operations.md).

# 第十章 安全运营与监控

安全运营把一次异常变成可定位、可处置、可重验的事件。日志必须保留足够的判断依据，告警需要明确升级条件，服务异常时要有降级路径，修复后则用回归评测检查同类问题。

## 学习目标

读完本章，读者应能：

1. 设计安全告警日志的字段，并用分级脱敏策略平衡隐私保护与根因分析。
2. 区分规则、统计和 ML 三类异常检测方法，按 P0–P3 对告警分级，并说明降噪与基线校准如何控制误报。
3. 按“检测与分析、遏制、根除、恢复、复盘与沟通”的剧本处置运行时安全事件，并把事件载荷转化为红队回归用例。
4. 解释为什么红队“未发现漏洞”不能证明系统安全，并为 CI/CD 安全门禁定义 ASR 的测量契约与阈值。
5. 设计 L1–L4 降级层级与终极兜底，说明为什么单次安全拒绝不应改变全局降级层级。

## 阅读路径

从日志与监控（[10.1](/ai_security_guide/di-san-bu-fen-fang-yu-pian/10_operations/10.1_monitoring.md)）到告警判定（[10.2](/ai_security_guide/di-san-bu-fen-fang-yu-pian/10_operations/10.2_anomaly_detection.md)），再到事件响应（[10.3](/ai_security_guide/di-san-bu-fen-fang-yu-pian/10_operations/10.3_incident_response.md)），建立一次事件的证据链。[10.4](/ai_security_guide/di-san-bu-fen-fang-yu-pian/10_operations/10.4_red_teaming.md) 与 [10.6](/ai_security_guide/di-san-bu-fen-fang-yu-pian/10_operations/10.6_modern_redteam_tools.md) 将事件转成持续评测；[10.5](/ai_security_guide/di-san-bu-fen-fang-yu-pian/10_operations/10.5_fallback_strategy.md) 用于设计服务异常时的降级与恢复条件。