4.1 网络流量检测：从特征到行为

4.1 网络流量检测

本节摘要：第 3 章讲了检测的思路与工序，本节把它们收拢成值守视角的实务：特征规则和行为规则的分工、告警分级与升级标准、以及"从特征到行为"迁移时的过渡期打法。这是把检测体系从纸面带到值教室的最后一公里。

一条告警的三种命运

同一个检测体系下，告警有三种截然不同的命运：被当晚值班同学关掉（误报），被关掉但两周后成了事件（漏判），被升级成事件并启动响应（命中）。决定命运的往往不是检测规则本身，而是规则周边的配套——分诊文档写没写清楚"这条报警意味着什么、下一步查什么"，升级标准有没有量化。本节按"规则分工—分级—升级"三层讲这个配套。

特征规则与行为规则：分工而非替代

特征规则（匹配已知形态）与行为规则（匹配机理约束）的关系，常被讲成新旧替代，实际是梯队分工。特征规则的战场在速度：已知形态一命中就能精确告警，误报低、解释性强，适合守住"对手用旧形态再来"的场景。行为规则的战场在泛化：锚定第 3.1 节的不变量，覆盖未知变体，代价是需要基线与评分配套，起步慢。成熟体系两者并存：特征规则当哨兵，行为规则当罗盘——哨兵叫得准但只认熟脸，罗盘指方向但需要解读。

给值守同学的实用建议是：把每条特征规则配套写明它的行为层含义。比如一条证书指纹情报规则，文档里应写明"命中即表示目标基础设施曾出现于某事件，建议立即执行 4.4 节研判流程的第一到三步"。没有这层注释的特征规则，值班同学只能机械关闭——不是规则错了，是配套缺了。

两类规则的时效特征也值得对照，它决定各自的维护节奏。特征规则的敌人是陈旧：情报过期、形态升级后继续空转，所以特征库要有淘汰机制——连续长周期零命中且情报过期的规则降级归档，而不是无限堆积。行为规则的敌人是漂移：业务变了（新系统上线、办公模式改变），基线没跟上，误报缓慢爬升。所以行为规则要有基线复核周期——按月看触发趋势，按季重画画像。两种维护节奏写进同一份检测运营日历，谁来值班都不会漏。运营日历听起来是小事，但检测体系的衰败几乎都从"没人记得该维护什么"开始。

告警分级：让注意力跟着风险走

分级的目的只有一个：让有限的值守注意力按风险排序。行业常见三级制，级别定义建议量化到"看到告警的人不需要主观判断"的程度：

表格里的"独立偏差"一词呼应 3.2 节的评分制：级别由独立观测的组合数驱动，而不是任何单条的直观严重度。这样分级的好处是抗操纵——对手绕过任何单一观测都改变不了级别，除非真的改变行为。

升级标准：什么时候叫醒别人

升级标准的要害在可操作。建议把"升级"拆成三个可观测的触发器，任一命中即升级：触发器一，关联扩散——同一来源或同一目的地的信号出现在第二台主机上；触发器二，时间持续——同一偏差跨越基线周期仍然存在（规律节律持续超过一个观察周期）；触发器三，证据升级——初判过程中发现了更高置信的伴随证据（比如主机侧出现对应的进程迹象，这是 4.2 节的主角）。三个触发器都只需要值守同学做简单核对，不需要高级分析技能——升级判断应当是廉价的，廉价才不会被犹豫拖延。

过渡期打法：从特征到行为不能一步跳

很多团队的困境是：知道行为规则好，但基线还没建起来，旧规则又不能下。过渡期的正确打法是影子模式：行为检测先并行运行但不直接告警，只记录"如果启用会报什么"；用两到四周对比影子产出与现有规则产出，回答三个问题——影子多抓了什么（说明旧体系有盲区）、旧体系多报了什么（说明影子的基线需要修正）、两者都报的稳定性如何。三个问题都有答案后，行为规则才转正。这套流程把切换风险从"上线即混乱"变成"灰度可控"，也让团队对行为检测的信心建立在自家数据上而不是宣传材料上。

影子期还有一件值得同步做的事：用演练流量做压力注入。协调一次授权演练（或用内部红队资源），让已知通道按不同配置在影子体系里跑一遍，影子产出与演练剧本对账——剧本里有的动作影子都报了吗？报的时刻与剧本时刻差多少？这次对账相当于给行为检测做了一次"已知答案的模考"，比用未知真实流量盲测更能定位问题。模考结果同时是 5.7 节报告里"检测体系改进"章节的现成素材。

值守侧还有一个软性但关键的建设：告警解读卡。每条上线的行为规则配一张巴掌大的卡片：这条规则锚定什么机理、触发时先看哪三个字段、常见误报来源是什么、升级条件是哪条。卡片看着朴素，却是新值班同学第一周就能独立分诊的全部秘密。行为规则的解读成本天然高于特征规则（特征规则说"就是这个"，行为规则说"像这样的"），解读卡就是把成本从每次触发摊销到一次编写。

常见疑问

问：值守人手不够，中低级告警基本没人看，怎么办？
先做分级收敛再谈人手：统计近三个月各级告警的真实命中率，把长期零命中的低级规则降频或合并——多数团队的统计结果会显示大头来自少数几条高误报规则。把低价值规则的噪音清掉，中级的信噪比自然改善。人手问题的真正解法是降低单条告警的处置成本（配套分诊文档、明细随单），而不是线性加人。

问：行为规则上了，特征规则还要维护吗？
要，但维护方式变了。特征规则退居"快速通道"：对已确认形态保持覆盖，命中即高置信——这要求特征库与近期事件、情报保持同步。二者的关系像疾控体系里的"确诊标准"与"筛查标准"：筛查抓面，确诊抓点，缺一不可。

问：边界观测点该怎么排部署优先级？
按第 2 章的架构结论排：先出口、后东西向、再主机侧兜底。出口是所有外部通道的必经地，一台设备的日志喂给第 3 章的工序就能起步；东西向观测决定对内网对等通道的覆盖，建设周期长要早规划；主机侧最贵也最具体，放在前两者之后补密度。把有限预算按"观测面的覆盖面积"排序，是中小团队最实用的采购顾问。