威胁日志的定位
威胁日志记录规则命中事件：命中了哪条规则、动作是告警还是阻断、涉及哪些地址与端口、命中位置的载荷摘要是什么。它是告警研判的起点，但单看一条日志上下文不足，必须与流量记录、主机日志按时间和地址关联，才能还原事件的时间线与影响范围。
基本信息
| 内容 | 规则命中、动作、五元组、载荷摘要 |
|---|---|
| 用途 | 告警研判、事件溯源、防护效果评估 |
| 关联方式 | 与流量统计、主机日志按时间与地址对齐 |
| 留存 | 按合规留存期管理，注意载荷摘要的敏感性 |
典型使用场景
- 收到攻击告警，判断是真命中还是误报
- 事件复盘时还原攻击时间线与受影响主机
- 评估某条规则上线后的实际防护效果
- 合规审计要求提供安全事件记录
- 接入 SIEM 前先核对字段是否规范
分析路径
分析路径
# 1. 看命中规则与动作：是告警还是阻断
# 2. 取源目地址与端口，关联同一时间窗的会话与流量记录
# 3. 到主机侧核对进程、账户与文件变化
# 4. 还原时间线：何时开始、持续多久、发生几次
# 5. 结论写回工单，必要时同步调整规则灵敏度字段读法
| 字段 | 含义 | 研判要点 |
|---|---|---|
| 规则名称或 ID | 命中的具体规则 | 先确认该规则对应的攻击类型 |
| 动作 | 告警或阻断 | 动作为阻断说明流量已被处置 |
| 五元组 | 源目地址与端口 | 用于关联其他日志并定位主机 |
| 载荷摘要 | 命中位置的报文片段 | 含敏感数据时控制查看权限 |
| 时间 | 命中时间戳 | 确认设备与日志服务器时间同步 |
载荷摘要可能包含账号、令牌等敏感内容：访问权限要受控，对外提供的部分做脱敏处理。
设备与日志服务器时间不同步时，跨源关联会整体错位，NTP 对齐是开展关联分析的前提。