| 分层 | 认证 / 执行 / 网络 / 文件 / 维护 |
|---|---|
| 降噪 | 缓存与同步类事件单独一轨或降权 |
先看分布
先看分布
grep -E 'execve|connect' merged.csv | cut -c1-13 | uniq -c | head -24图是给人看的中间产物，报告引用时要点明数据来源与生成脚本。
把登录、执行、网络、文件四类事件分层展示，噪声源单独成轨，比混在一条轴上更容易看出攻击节奏。
| 分层 | 认证 / 执行 / 网络 / 文件 / 维护 |
|---|---|
| 降噪 | 缓存与同步类事件单独一轨或降权 |
grep -E 'execve|connect' merged.csv | cut -c1-13 | uniq -c | head -24