2.4 会话生命周期：睡眠、抖动与心跳机理

2.4 会话生命周期

本节摘要：会话在两次回连之间做什么？答案是睡眠——按设定间隔休眠，间隔上再叠加随机抖动。本节讲清这两个参数如何塑造流量在时间轴上的形状，给出参数到形态的推演方法。这是全书技术含金量最高的因果链之一：看懂它，第 3 章的检测指标将不再是需要背诵的阈值，而是可以推导的结论。

为什么不做成实时在线

从功能角度，会话完全可以实时在线：长连接挂着，指令秒到。真实威胁却几乎都选择了相反的设计——短促连接、长间隔休眠。原因在暴露经济学：一次连接就是一次被观测的机会，实时在线意味着持续暴露在流量设备与端点遥测之下；而低频短连接把暴露机会压缩到极少数时间点上，每次还只有几秒。代价是响应慢——指令要等下一班"心跳"才能送达。对抗的核心就是在"快"与"隐"之间定价，睡眠间隔就是那个价格标签。

这个设计解释了事件响应里最常见的困惑：为什么失陷主机在流量里"看起来很安静"。不是不通信，而是通信密度低到淹没在正常波动里。也正因如此，检测的着眼点不能是单次连接的体量，而必须是跨时间的形状——这正是本节要建立的直觉。

睡眠与抖动：两个参数，一种形状

睡眠间隔（sleep）决定会话多久醒一次；抖动比例（jitter）决定实际间隔在基准值附近随机偏移的幅度。两者合成一次"心跳"的实际发生时刻。设基准间隔为三千米高处的飞机航线，抖动就是航线左右各一百米的随机摆动——从地面看，飞机仍沿着那条走廊出现，但每次的具体位置都不同。固定间隔的流量在时间轴上是等距点列，一望即知是机器节律；叠加抖动后点列变得参差，肉眼难辨，统计上却仍保留着区间聚集的特征——所有落点都散布在基准值附近，而不会跑出走廊。

图 2-3 三种调度策略的时间形状

把这张图与真实观测对照，能读出检测思想的分层。第一层，走廊检测：对每台主机的出向目的地址统计间隔分布，若长期聚集在一个稳定区间，无论基准是多少都值得看一眼。第二层，作息对照：业务流量的簇发跟随工作时间，心跳不跟随——凌晨时段的规律性短连接，是走廊检测的高置信放大器。第三层，抖动上限：抖动比例通常不会设到极端值，因为抖得越狠，取件等待的期望越长，任务时效越差；这意味着走廊的宽度有实践上的合理范围，过窄过宽都值得怀疑。三层叠起来，就是第 3.3 节检测规则的雏形。

三层之外还有一个统计常识要补：样本量意识。判断"间隔聚集"需要足够的观测点——两三个间隔说明不了走廊，十几个间隔才有统计意义。这带来一个实践上的先后策略：发现"少数几次规律外联"时不要急着定性，把它挂进观察名单，让时间积累样本；同时用低成本的旁证（目的地址年龄、证书属性）做初筛。急着定性会把不确定写成结论，拖着不记又会漏掉早期信号——"观察名单"这个中间态就是为这个两难准备的。第 4.4 节案例的告警正是观察名单转正的实例。

一段序列的读法

给出一段真实观感的间隔序列，练习把参数"读"出来：

某主机 对同一外部地址 的出向时刻（节选）
02:11:08  02:41:17  03:12:02  03:39:55  04:10:29  04:42:00
相邻间隔（分钟）
30.2      30.8      27.9      30.6      31.5
​

读法分三步。第一步看基准：间隔围绕三十分钟聚集，说明睡眠基准在三十分钟量级。第二步看摆幅：实际值在基准两侧正负几分钟内波动，对应一个温和的抖动比例。第三步看作息：序列跨越凌晨时段仍保持节律，排除"人在操作"的解释，指向自动调度。三步读完，这条外联已经从"海量日志里的一行"升格为"高置信关注对象"。这套读法不需要任何专用设备，一张电子表格就能完成——检测能力的第一性来源是对机理的理解，不是采购清单。

交互与低频：同一会话的两副面孔

生命周期还有一个容易被忽略的开关：会话可以在"低频模式"与"交互模式"之间切换。低频模式是常态——短连接、长睡眠、流量极薄；当操作员需要连续作业（比如需要一问一答式的排查）时，会话切换到交互模式，改用长连接实时收发。切换的流量痕迹非常典型：从周期性短促连接突变为持续数据流，或者反向收束。对蓝队，这提供了一个高价值元特征——前面 2.3 节讲过"协议突变"是信号，这里是"连接形态突变"，两者共同构成行为突变检测的两根支柱。

对演练组织者，这个开关是治理对象：交互式会话暴露面大、时效快，适合短促的验证型动作；低频会话则更接近真实威胁的驻留形态。一次演练两种模式怎么配比，应当作为技术方案的一部分写进授权材料——这是第 5.2 节交战规则的条款来源之一。

会话的退场：结束时发生了什么

生命周期有起点也有终点，退场方式对取证同样有意义。正常退场是操作员显式退出：会话收尾并停止回连，主机侧遗留状态按退出选项而异——这在演练结项时是 5.3 节核销清单的核对对象。异常退场是通道失联：服务器不可达或中间链路中断时，会话会按自己的重试策略继续尝试回连——这个行为在取证上很值钱，它意味着即使基础设施已被处置，目标侧的会话仍在按原节律"呼叫失联的号码"，边界上那些持续扑空的出向尝试本身就是清晰的失陷证据。事件处置里有一个经典手艺：先控制基础设施（让会话连不上），再观察目标侧的扑空流量来确认全部失陷点位——比在每台主机上逐个排查省力得多。这也解释了 4.6 节处置清单里"通道层封禁"为什么排在清除之前：封禁既是阻止回连，也是一面照出所有残余会话的镜子。

常见疑问

问：把睡眠设得极长（比如按天计），是不是就检测不到了？
间隔越长，单条流量越稀薄，走廊检测确实更难触发。但天级间隔意味着任务时效以天计，威胁的"行动力"被自我阉割——对抗里没有免费的隐蔽。同时天级节律在"跨天重复出现"的维度上依然规律，长周期统计仍可覆盖。检测工程要接受一个现实：没有单一规则能抓住一切配置，纵深布防的意义就在于此。

问：这些参数会写进取证报告吗？
会，而且很有价值。从观测序列反推出的间隔基准与摆幅，是指纹级的特征：它可以在不同事件、不同样本之间做关联，帮助判断"是不是同一套基础设施与同一套作业习惯"。第 4.4 节的复盘案例会演示这个反推过程。