Where To Start
调查可以从三个地方进去
分析师手上拿到的线索形态不同：可能是一条告警，可能是一台被点名的服务器，也可能是一个需要核查的账号。三个入口通向同一份关联视图。
Correlation
五个维度，把散落的事件对起来
关联不是把事件按时间排成一列，而是让每一条关系都能说清「凭什么把这两件事放在一起」。
| 维度 | 关联的内容 | 回答的问题 |
|---|---|---|
| 账号 | 认证事件、票据请求、发起的远程执行 | 是谁的身份在动 |
| 主机 | 稳定资产身份与其属性变更快照 | 动作发生在哪台机器上 |
| 进程 | 进程创建、父子关系与命令行 | 用什么在动 |
| 连接 | 跨主机网络连接与接口变化 | 从哪里到哪里 |
| 时间 | 事件时间与时间窗口内的先后关系 | 顺序是否成立 |
时间维度依赖端点时钟。采集健康里会记录时钟偏移；偏移较大时，跨主机的先后顺序需要人工确认，不能直接据此判断因果。
Reconstruction
从入口到一条可读的路径
每一步都保留可回溯的原始记录。路径不是自动生成的结论，而是一份可以逐条推翻或确认的材料。
Path Evidence
一条横向移动路径里有什么
路径的价值在于每一段都能交代来源。下面是构成一条路径的要素与它们各自的证据来源。
| 路径要素 | 内容 | 证据来源 |
|---|---|---|
| 来源端点 | 已部署 Agent 的失陷主机与其稳定资产身份 | 资产台账与属性快照 |
| 账号与认证 | 被使用的账号、认证事件与发生时间 | 登录会话、PAM / auth、安全日志 |
| 进程与命令 | 相关进程创建、父子关系与命令行 | ETW / proc / eBPF 进程采集 |
| 跨主机连接 | 发起与接受的网络连接、接口变化 | 网络采集与连接快照 |
| 涉及资产 | 路径上的主机与关键服务器 | 各端点上报的事件汇总 |
| 证据缺口 | 采集未覆盖或数据缺失的环节 | 采集健康状态 |
结构说明，不是产品界面截图。演示环境中的路径属于产品演示场景，不是某一位客户的实际事件记录。
Boundaries
溯源到哪里为止
这项能力回答「发生了什么、涉及了谁的身份、走到了哪里」。再往前一步的判断需要别的依据，页面上不替它们下结论。
英文页面把这项能力译作 Investigation 而不是 Attribution，正是为了避免暗示已确认攻击者归属。调查结论用于决定处置动作与影响评估，不作为对外定性的依据。
Expert Consultation
用一次真实告警，走一遍调查过程
把您手上一条典型告警的场景告诉我们，我们按同样的过程演示从入口到路径的每一步：
调查入口选择
从告警、资产或账号进入
关联维度说明
五个维度分别对上什么
缺口如何呈现
采集未覆盖时的标注方式
飞书扫码，即可咨询