从网络区域追到设备和会话，确定异常通信从哪里发起、经过哪个边界，并保留可以复查的证据。
围绕一条会话，从流量视图进入证据详情。
在样例中，工作站 ws-eng-07 主动连接认证服务器 srv-auth-01。打开会话 SES-01，核对端点、端口和关联告警，再回到设备角色判断是否符合业务预期。
