为什么要去重
一次扫描或蠕虫扩散会让同一威胁源在短时间内反复命中同一条特征，如果每条都单独出一条告警，值班界面很快被淹没，真正的严重事件反而被埋掉。去重与聚合的做法是：在限定时间窗口内，把「同源地址 + 同条特征 + 同目的」的命中合并成一条记录，保留命中次数与首次、末次时间。告警数量下降，判断依据反而更清楚——高频命中本身就是扫描、爆破或失陷主机的信号。
基本信息
| 聚合维度 | 源 IP + 特征/规则 + 目的 IP（必要时加目的端口） |
|---|---|
| 时间窗口 | 按告警节奏设定，常见 5 至 30 分钟，窗口内计数合并 |
| 实施位置 | 设备侧抑制或日志平台侧聚合一选一，避免两侧叠加 |
| 保留字段 | 命中次数、首次时间、末次时间、原始动作（告警/阻断） |
| 配套动作 | 高计数自动升级、与黑名单联动封禁、按源地址做情报比对 |
典型使用场景
- 内部主机被植入木马后反复外联 C2，同一特征高频命中，聚合后一眼看出主机失陷
- 外网扫描器批量探测，同一源命中多条特征，合并后便于一键封禁源地址
- 值班人力有限时压缩告警量，让处置精力集中在少量高危事件上
- 为周报与趋势分析提供稳定口径：按聚合后事件数统计，避免数字随重复量波动
- 与 SIEM 或告警平台对接前先做聚合，防止灌入平台后造成告警风暴
- 区分「同一事件反复告警」与「多个独立事件」，减少误判事件影响范围
聚合记录示例
聚合记录示例
特征 挖矿外联特征（规则 ID 1055）
源 203.0.113.5 -> 目的 198.51.100.20:3333
命中 72 次（首次 10:01，末次 10:26）
原始动作 仅记录（观察模式）
处置 研判为内网主机异常外联，已隔离主机并封禁目的地址聚合字段读法
| 字段 | 含义 | 研判价值 |
|---|---|---|
| 命中次数 | 窗口内同源同特征命中的总次数 | 高频多为扫描、爆破或失陷主机周期性外联 |
| 首次时间 | 窗口内第一次命中的时刻 | 用于与业务变更、补丁、上线时间做关联 |
| 末次时间 | 窗口内最后一次命中的时刻 | 与首次间隔小说明是单次批量行为，间隔大说明持续活动 |
| 目的分布 | 同一源命中的不同目的数量 | 一个源打大量目的偏向扫描，单一目的偏向定点攻击 |
| 原始动作 | 记录/阻断等设备实际处置 | 观察模式只记录，研判时不要误认为已拦截 |
去重的目标是让处置聚焦，不是让告警消失。把计数一并保留，否则「万次爆破」会被压缩成看起来无害的一条记录，研判时容易低估威胁强度。
设备侧抑制与平台侧聚合同时开启时，两侧计数口径不同，很容易出现「设备说有 300 次、平台只有 12 条」的争论。选其一作为唯一口径，另一侧只做展示。