基线法找异常
没有明确告警时，可以先用基线法：为每个用户、主机或业务建立正常周期的行为画像（登录时段分布、常用来源、进程与网络行为频率、数据量级），显著偏离基线的行为即为候选异常点。基线法的优势是不依赖已有规则，能发现“形态正常但位置不对”的行为；缺点是噪声较多，必须建立规范的排除流程，把采集缺口、业务变更等因素先剔掉，剩下的才升格为疑点。
基本信息
| 适用平台 | 支持日志集中化的环境（Linux/Windows 主机、网络设备、云平台日志） |
|---|---|
| 画像维度 | 登录时段、来源 IP 与地区、进程与网络行为频率、数据量级、访问目标集合 |
| 采样期要求 | 覆盖完整业务周期，至少含一次月度任务与一次版本发布 |
| 数据前提 | 日志采集稳定且完整，否则会把采集缺口误判为异常 |
| 输出 | 候选异常清单，含偏离说明与验证状态 |
典型使用场景
- 没有告警线索时，从行为偏离中找出可疑账号或主机
- 发现“影子运维”：账号在非工作时段或非常用来源登录
- 识别数据外带的前兆：某账号的读取量与下载量显著高于历史水平
- 为后续规则制定提供依据：把反复出现的偏离固化为检测规则
- 验证应急处置后的残余风险：处置后行为是否回归基线
对比与核实
对比与核实
# 对比维度（按账号或主机分别统计）
登录时段分布（小时直方图）
常用来源 IP 与地区
进程创建频率与特有进程集合
网络连接的目标网段与端口分布
单位时间数据传输量级
# 偏离核实步骤
1 先排除采集缺口与日志轮转造成的假偏离
2 再排除业务变更（发版、迁移、活动、临时任务）
3 仍无法解释的升级为疑点，记录证据与后续动作偏离类型对照
| 偏离现象 | 常见原因 | 核实方式 |
|---|---|---|
| 登录时段异常 | 远程值班、时区差异、凭据泄露 | 与排班表和变更记录核对 |
| 来源地区异常 | VPN、代理、出差、账号共享 | 查 VPN 与代理日志确认来源 |
| 进程集合异常 | 软件更新、脚本上线、恶意程序 | 比对发布记录与文件哈希 |
| 数据量突增 | 业务增长、批量导出、外带 | 看访问对象与导出语句 |
| 访问目标异常 | 新依赖服务、C2 通信 | 核查域名与 IP 归属与信誉 |
基线采样期要覆盖业务周期：只取一周数据会把月末批量任务、月初结算这类周期性行为当成异常，导致大量误报。
偏离核实的前两步必须依赖客观数据（采集状态、变更单），不要靠印象判断“这个应该是业务行为”，否则基线的价值会被主观推断抵消。