从一个线索扩展出关联面
枢轴（pivot）是从一个已确认的线索出发，用同一取值到各个日志源里再搜一遍，命中就扩展出新的实体，再以新实体继续扩展。常用枢轴有四类：IP 地址、域名、账号、文件哈希，再加上进程名与命令行片段。每次扩展都要记录「从哪来、到哪去、依据是什么」。扩展两到三轮后主动收敛，否则线索会无限发散，最终得到的只是一张没有结论的关系图。
基本信息
| 常用枢轴 | IP、域名、账号、文件哈希、进程名、命令行片段、证书指纹 |
|---|---|
| 检索面 | 认证日志、进程记录、文件元数据、流量日志、集中日志平台 |
| 记录要求 | 每条扩展标注来源、方向与依据，形成可复核的扩线图 |
| 收敛条件 | 扩展到无新增实体、或已覆盖既定范围时停止 |
| 置信度 | 低置信线索单独标注，避免与已确认结论混在一起 |
| 常见噪声 | 公共 DNS、CDN 地址、内网网关等高频共用值 |
典型使用场景
- 从一个可疑外联 IP 出发，找出还有哪些主机连过它
- 从落地文件哈希出发，找出同哈希在其他主机上的分布
- 从被使用的账号出发，找出其全部来源地址与使用时段
- 从进程名或命令行片段出发，找出同类行为的其他实例
- 把扩展出的实体回填到范围清单，更新排查边界
- 为检测规则提供输入：扩展出的模式沉淀为规则
扩展动作
扩展动作
IP → 全部日志中检索 → 新主机、新账号、新域名
哈希 → 端点与样本库 → 新落地点、新文件名
账号 → 认证日志 → 新来源 IP、新使用时段
域名 → DNS 与代理日志 → 新发起主机、新解析地址
# 每轮记录：从哪个实体出发、用哪个取值、在哪个来源、命中什么
# 扩展 2-3 轮后收敛，标注低置信线索枢轴类型与扩展方向
| 枢轴 | 扩展方向 | 确认要点 |
|---|---|---|
| IP | 其他主机的同目标外联、同来源的登录尝试 | 区分公共 DNS/CDN 等共用地址 |
| 域名 | 解析记录、发起主机、请求路径 | 同一域名可能对应多个解析地址 |
| 账号 | 登录来源、使用时段、关联主机 | 服务账号的高频行为要先建基线 |
| 文件哈希 | 其他主机上的同名或同哈希文件 | 哈希相同才是同一文件，文件名不可靠 |
| 进程名/命令行 | 同类行为的其他实例 | 进程名可伪装，命令行参数更具区分度 |
扩展出的低置信线索要标注等级。常见值（公共 DNS、内网网关、操作系统自带工具名）不要当作 IOC 反复扩展，会把大量正常行为拉进关系图。
扩线要有终点：扩展到无新增实体时停止，或达到既定范围边界时停止。无节制的扩展会让调查失去方向，也让报告无法收敛成结论。