多源日志关联分析是什么
单看一条告警,很难判断是扫描噪音还是真实入侵；把安全设备、主机、应用与账号系统的日志按时间、地址与资产串起来，才能拼出完整的事件链。关联依赖三个基础：时间同步、字段口径统一（尤其是地址是私网还是公网）、资产台账（IP 对应哪台机器与哪个系统）。基础不牢时，关联分析会反复落空——时间差几秒就对不上窗口，地址口径不同就串不起链条。
基本信息
| 关联键 | 时间窗口、IP 与端口、账号、请求唯一标识 |
|---|---|
| 数据源 | 防火墙与 NAT 日志、IPS 与 WAF 告警、主机与中间件日志、账号与准入系统 |
| 输出物 | 事件时间线、影响范围、涉及资产与账号 |
| 基础要求 | 统一时钟、字段归一、资产台账、NAT 映射可追溯 |
| 常见障碍 | 时间未同步、地址口径不一致、日志留存不足 |
典型使用场景
- 攻击事件复盘：从入口告警一路查到主机是否被植入
- 横向移动确认：判断某台主机被攻陷后是否继续访问内网其他系统
- 数据外传核查：结合流量日志与主机进程记录确认外传行为
- 账号异常登录：关联账号系统与网络侧记录确认来源
- 误报认定：用多源日志证明某告警在业务上属于正常行为
- 影响面评估：统计涉及的主机数、系统数与时间跨度
关联示例
关联示例
# 时间窗 5 分钟内的关联链：
# 1. IPS 告警：某漏洞利用尝试，目的地址为业务系统公网映射
# 2. 查会话与 NAT 日志：把公网地址还原为内网主机
# 3. 查主机日志：确认是否有对应进程执行与文件落地
# 4. 查账号与准入系统：确认该时段登录来源与使用人
# 5. 查出口流量：确认是否发生外连或数据外传
# 6. 输出时间线与结论，标注证据来源关联基础与缺失后果
| 基础条件 | 作用 | 缺失后果 |
|---|---|---|
| 统一时钟 | 保证时间窗口有效 | 日志错位，事件链拼不完整 |
| 字段归一 | 可跨系统检索同一实体 | 只能人工逐条翻查 |
| 资产台账 | 把 IP 映射到业务与责任人 | 定位到 IP 后无法推进 |
| NAT 映射可查 | 把公网线索还原为内网主机 | 外部线索中断，无法定位 |
| 留存足够 | 覆盖事件回溯周期 | 事后无法取证 |
资产台账是关联分析中投入产出比最高的一项：没有台账时，即便定位到 IP 也不知道对应哪个业务系统与负责人。
时间不同步会让关联窗口整体失效：各系统日志都正确，但放在一起就是拼不出因果顺序。