| 用途 | 从一个线索扩展出关联面 |
|---|---|
| 数据 | IP/域名/账号/哈希/进程名 |
扩展动作
扩展动作
IP → 所有日志中检索 → 新主机/新账号
哈希 → 端点与样本库 → 新落地点
账号 → 认证日志 → 新来源 IP
# 每轮扩展标注"从哪来、到哪去"扩展 2-3 轮后收敛，避免无限发散。
枢轴（Pivot）扩展技巧
从一个已确认的 IOC 出发：同一 IP/域名/账号/文件哈希再去各日志源搜，命中即扩展图；每次扩展记录方向与依据。
易错点
- 扩展出的低置信线索要标注等级，防止噪音淹没结论
- 常见值（如公共 DNS）别当 IOC 反复扩展
数据来源与参考
- 威胁狩猎实践