处置手册
SOP、运行手册、环境说明构成检索知识库。分诊、调查、规则生成、体检解读时自动引用并标出来源。
处置手册是检索增强（RAG）知识库，所有版本都可以使用。上传的文档切成片段、向量化后存入 Elasticsearch 的 .rst_copilot_kb 索引。分诊评分、调查结论、检测规则生成和平台体检解读之前，网关先检索知识库，把相关片段交给模型，结果中注明参考的文档数。
处置手册依赖向量模型（Embedding），需要先在 AI 配置 中配置。未配置时页面提示「处置手册未启用，请联系管理员在服务端开启向量模型」。
应该上传的文档
收益最大的是环境说明，例如「10.30.9.5 是 Zabbix 监控节点，端口探测属正常」。哪台主机是监控节点、哪个网段是跳板机，模型没有其他途径获知。
| 类型 | 例子 | 使用场景 |
|---|---|---|
| 应急预案与 SOP | 勒索软件处置流程、失陷主机隔离步骤 | 告警调查与分诊的处置建议 |
| 环境说明 | 监控节点、跳板机网段、扫描器地址 | 分诊和调查的误报判定 |
| 检测规范 | 规则命名、严重度定义、ATT&CK 映射习惯 | 检测规则生成 |
| 集群运维手册 | 分片策略、ILM 约定 | 平台健康的 AI 解读 |
上传文档
步骤
- 选择 上传文档。
- 在 标题 中输入文档名称。检索结果和引用中显示这个名称。
- 在 正文 中粘贴 Markdown 或纯文本。建议长度为 5,000 到 20,000 字符，对话框实时显示估算的片段数。
- （可选）在 元数据（可选） 中添加键值对，最多 6 组，例如
source: internal-wiki、owner: soc-l2。元数据随片段存储，检索结果据此显示来源。 - 选择 提交并 embedding。
向量化在网关侧完成。使用本地模型时，1,000 个片段约需几分钟。上传完成后文档出现在 文档库 中。删除文档时，其全部片段一并移除。
测试检索效果
在 检索测试 选项卡中输入一个问题，查看命中的片段、相似度和来源文档，用来验证切分方式和问法。
命中率低时，常见原因是文档过长且没有小标题，或问法与文档用词差异过大。
更换向量模型
维度不同的向量模型不能复用已有索引，网关拒绝保存，并提示索引维度与当前模型维度不一致。换回原来的模型，或删除 .rst_copilot_kb 索引后重新上传全部文档。