3.3 把心跳变成告警：网络侧检测思路

3.3 把心跳变成告警

本节摘要：前三节的机理与画像，最终要落成一条能在值守屏幕上跳出来的告警。本节给出从遥测到告警的完整工序——采集、基线、评分、分诊——并正面处理每个环节的误报问题。读完你应当能把 2.4 节的"走廊"直觉，翻译成可上线的检测工程。

为什么不能只写一条规则

新手对"检测 C2 心跳"的想象是一条正则：匹配某个特征串即告警。这条路的问题在本章反复出现过：特征串是最易换装的表层。真实的工序更像一条漏斗：海量遥测从顶口进入，先经基线过滤掉"本网段本来如此"的部分，再经评分把多维偏差聚合成风险分，最后由分诊决定哪些值得叫醒值班的人。每道工序都同时处理两种错误——漏报与误报，而工序设计的全部艺术，都在这两类错误的配比上。

图 3-3 从遥测到告警的检测漏斗

基线：先学常态，再看偏差

基线的单位不是全网一台，而是网段画像——办公网、服务器网段、管理网段各有各的常态，混在一起的基线必然误报成灾。画像的维度取自前两节：目的地分布（这个网段平时连哪些外部地址类）、节奏画像（出向的时段与间隔形态）、协议构成（各协议的占比与使用者）。建立画像不需要大数据平台，按周聚合日志即可起步；重要的是闭环——基线上线后，每条误报都要回流成画像修正，让基线越用越准。

画像还有一个常被忽视的建设次序问题：先画哪个网段？答案不是"最重要的"，而是"最安静的"。安静网段（服务器区、管理区）的业务形态稳定、外联稀少，基线一两周就能收敛，误报少、规则成熟快；办公网人情复杂、工具林立，画像要磨几个季度。先易后难的价值不在快，在建立团队对方法论的信心——拿最难的网段开刀，第一轮误报就会把项目淹死。同时，安静网段的画像成熟后会产生"种子规则"，迁移到嘈杂网段时只需要调参数，不必从零推导。

基线层还有一个容易被低估的产出：覆盖度地图。画画像的过程会暴露哪些网段根本没有日志、哪些出口设备字段缺失——这些盲区既是检测漏洞也是取证黑洞。把覆盖度地图交给基础设施团队，往往是检测项目头一个季度里价值最大的交付物。

评分：多维独立观测的加权

评分层的原则在 3.2 节已经立起：单项观测只出份权重，多项独立观测同时偏离才成告警。这里补充权重的设定依据——按绕过成本定权重。绕过成本高的观测（节律走廊，改它要付时效代价）权重高；绕过成本低的（指纹笔迹，换版本即变）权重低。权重不是拍脑袋，是攻防成本结构的数字化。另一条实践要点：各项观测必须统计独立——若两项信号其实来自同一份日志的同一字段，它们的相关性会让评分虚高，这在规则评审时要专门检查。

评分阈值怎么定？与其追求理论最优，不如用演练校准：在授权演练中让红队按不同配置生成真实通道，观察评分曲线在已知真阳性上的分布，再结合日常误报分布选工作点。这套校准方法把第 1.4 节的紫队流程落到了检测工程上——演练的产出不再只是报告，还有一条实测的 ROC 曲线。

分诊：告警的最后一公里

评分越过阈值只是"值得看"，分诊决定"怎么看"。三条实践准则。准则一：明细随单。工单里必须带上触发它的各项观测明细——间隔序列、证书属性、指纹串、基线对照图。值班同学若还要自己跨五个系统捞数据，平均处置时长和漏判率都会失控。准则二：置信度排序而非时间排序。值守队列按评分排序而非到达顺序，保证有限注意力先给高置信事件。准则三：工单闭环回流。每单的处置结论（真事件、误报、待观察）回写评分体系，误报样本进基线修正，真事件样本进对抗剧本。这三条没有一条涉及高深技术，却决定了检测体系在真实值守里是资产还是摆设。

一条规则的解剖示例

把全节工序收拢到一个具体形态上。下面这条规则的骨架（伪代码）演示了"锚定不变量、表做关联"的写法：

规则 周期性低频外联关注
主体  按 主机与外部目的地址 聚合出向记录
条件  观测窗内连接次数达到下限
且    间隔变异系数低于阈值        # 走廊存在 锚定调度不变量
且    连接时段与该主机业务作息不符  # 作息对照 锚定行为不变量
且    目的地为新生或低信誉基础设施  # 关联项 表层辅助
动作  生成中置信工单 附间隔序列与证书与指纹明细
​

注意三个条件的层次：前两个锚在不变量上，第三个只是加分关联。对手要绕过前两条，必须改变调度行为本身——付出时效与工程代价；要绕过第三条只需换基础设施——但那样前两条仍在。这就是"不变量为主、表层为辅"在一条规则里的具体长相。

规则的维护节奏也要有安排。行为类规则的健康度不靠感觉，靠三个季度性指标：触发分布（规则近一季的告警集中在哪些网段——集中在业务异质网段说明基线粒度不够）、命中率贡献（它贡献过几条最终确认的事件——零贡献不等于无用，但连续多个季度零贡献要复查参数）、伴随率（它触发时平均有几项伴随观测——伴随率低的规则容易被单变量噪声触发）。三个指标都不需要新采集，从工单系统里就能统计出来。规则库的"体检日"建议与基线对账（3.3 基线层的闭环）放在同一个季度例会上，一次会议养两套资产。

常见疑问

问：没有全流量采集，这套工序还成立吗？
成立，只是输入换掉。3.4 节专门讲在仅有访问日志、解析日志、代理日志的环境里如何做侧写——工序四层不变，采集层的内容不同。事实上多数机构的常态就是部分采集，能把现有日志用好已经超过大多数同行。

问：评分制会不会让"为什么告警"变得难解释？
会不会取决于明细质量。评分制的每一条权重来源都应随单展示——这正是"明细随单"准则的意义。反倒是黑箱式的一票触发规则，一旦被问"为什么报它"，答案常常只剩"规则库里写的"。可解释性是分诊效率与误报治理的共同前提。

问：这道漏斗工序与商用检测产品的关系是什么？
互补而非替代。商用产品把漏斗的多数工序做成了开箱能力，中小团队的合理起点就是用好产品自带的行为检测。本章工序的独立价值在三处：产品没覆盖的数据源（自有业务日志）、需要自家业务知识的基线（网段画像与作息）、以及评审与调优的判断力（知道产品为什么这么报）。换句话说：产品供引擎，本节供工程师——引擎越强，越需要懂原理的人驾驭。