日志溯源53 条

IDS/IPS 告警日志关联

以 IDS 告警为线索，回填五元组与签名，再与防火墙、主机日志互证：单条告警不足以下结论，交叉印证才有证据力。

用途	由告警串起网络与主机证据
关键字段	timestamp / src_ip / dest_ip / signature

Suricata 检索

jq 'select(.event_type=="alert") | {ts:.timestamp,src:.src_ip,dst:.dest_ip,sig:.alert.signature}' eve.json | head

签名命中只代表流量特征匹配，需要主机侧行为佐证。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌