多源关联的三条线是什么
关联分析同时推进三条线：时间线回答什么时候发生了什么，账号线回答谁在做，网络线回答数据去了哪里。任意两条线交叉验证后形成的结论相对硬，只靠单线支撑的只能列为待核。三条线的交叉点，就是报告的结论支柱。
基本信息
| 用途 | 交叉验证，提升结论可信度 |
|---|---|
| 三条线 | 时间线、账号线、网络线 |
| 关联键 | 时间戳、账号名、来源或目的 IP、主机名 |
| 结论口径 | 两线以上交叉算较硬，单线只列待核 |
典型使用场景
- 判断一次登录是否与某个恶意进程存在因果关系
- 多台主机出现相似行为，判断是同一攻击者还是巧合
- 各主机时间戳不同步时，用账号线与网络线兜底
- 报告需要给出高可信度结论时，先找交叉点再动笔
- 复盘时检查是否存在只靠单源支撑的脆弱结论
三线交叉示例
三线交叉示例
时间线: 03:12 计划任务创建（4698）
账号线: 03:11 svc_backup 从跳板机登录（4624 类型 3）
网络线: 03:13 该主机外联 198.51.100.9:443（防火墙会话）
交叉点: 三条线在 03:11-03:13 同一主机重叠 → 可信度高
# 单线证据（仅一条登录记录）只能列为待核，不写进结论关联键与常见坑
| 关联键 | 适用范围 | 注意 |
|---|---|---|
| 时间戳 | 全部日志类型 | 主机时钟可能不同步，先核对时区与 NTP 状态 |
| 账号名 | 登录与提权日志 | 共享账号无法唯一定位使用者 |
| 来源或目的 IP | 网络与认证日志 | NAT 与 DHCP 会让同一 IP 对应多台主机 |
| 主机名 | 跨平台日志 | 同一主机在不同系统可能用不同命名 |
时钟偏差是关联的头号敌人。跨主机关联前先核对 NTP 状态，必要时用日志时间与网络记录时间双向校准。
同一个 IP 在不同时间段可能分配给不同主机（DHCP），也可能代表不同客户端（NAT）。直接把 IP 当身份使用，结论会错。