批量分诊
一批 Offense 按规则和来源聚成簇，模型对每簇评定严重度、判定误报、给出处置建议，按优先级排队。付费功能。
批量分诊决定 Offense 队列的处理顺序。同一规则、同一来源的 Offense 先在本地聚成一簇，模型再对每簇评定严重度、判定是否误报并给出处置建议，簇按优先级排列。几百个 Offense 通常归并为十几个处置决定。评分结果跟随界面语言。
每次分诊完成后自动归档到分析记录。簇的处置状态团队共享，不写回 QRadar，也不改变 Offenses 告警中的处置状态。关闭 QRadar 中的 Offense 在 Offenses 告警的详情中逐条操作。
分诊 OPEN 状态的 Offense
前提条件
- 专业版或企业版许可，包括试用许可。未激活时页面提示前往产品激活。
- Offense 同步已开启，见 Offenses 告警。网关中没有 Offense 副本时，直接从 QRadar 拉取。
步骤
- 在 提交告警 中输入 时间窗（分钟），默认 1440。按 Offense 的开始时间取这段时间内状态为 OPEN 的 Offense。
- （可选）修改 最多分诊条数（默认 100）和 送模型评分的聚类上限（默认 30）。
- （可选）打开 深度思考，让模型以更高的推理强度评分。
- 选择 开始分诊。
超过 最多分诊条数 时只取最新的一批。超过聚类上限的簇不评分，结果上方提示数量，调高上限后重新提交即可。几十个簇在思考模型上通常需要 1 到 3 分钟。
也可以从其他页面把 Offense 送来：在智能查询的结果或 Offenses 告警的详情中选择 送去研判，页面顶部显示 已接收 N 条告警。此时时间窗只用于深入调查时拉取上下文。
处置分诊结果
步骤
- 在 分诊队列 中选择一行，查看 处置建议 和该簇的告警 ID。
- 在该行的 处置 中选择状态。多行一起修改时，先选中这些行。
- 需要进一步确认时，选择 深入调查，围绕该簇的主体执行一次 Offense 调查。
- 怀疑几个簇属于同一事件时，逐个选择 对比，在页面底部的 并排对比 中查看。
处置状态改为升级时，页面询问是否推送给值班渠道，目标在对外通道中配置。
保存与导出
选择 保存此次分诊，可附一句备注。保存的分诊出现在 历史分诊 中，全队可见。选择 导出 CSV 导出当前队列。
分诊结果的内容
顶部四项为 告警总数（以及聚成的簇数）、已评分、高危及以上 和 聚类严重度 分布。队列每行一个簇：
| 列 | 含义 |
|---|---|
| 严重度 | 模型评定的严重度。疑似误报单独标记 疑似误报 |
| 攻击意图 / 主体 | 该簇的行为，以及涉及的源 IP、目的主机或账号 |
| 告警数 | 簇内的 Offense 数 |
| 时间跨度 | 簇内第一个到最后一个 Offense 的时间 |
| 处置 | 未处置、已处置、误报、升级 |
评分未完成
模型超时或报错时，页面提示 AI 评分未完成，队列按告警数量排序，没有严重度和建议，可以稍后重新提交。思考模型单次评分可能超过 LLM_TIMEOUT_S（默认 180 秒）。连续出现时调大该值，或在 AI 配置中降低推理强度。