安全运营中心

按影响范围分诊告警，再把设备、会话和证据归入同一事件。

调查步骤

关联: 用会话 ID 将告警与设备、指标和抓包关联起来。
调查: 核对时间和方向，在拓扑图上确认通信跨越的边界。
响应: 将证据挂到事件时间线，记录处置状态和需要复核的会话。

相关资源

从告警找到原始证据

通过关联 ID 从一次检测找到会话和对应抓包，再返回安全事件。

从会话方向重建横向访问

同一对设备可以交换大量数据。谁发起连接、经过哪个边界，比单看字节数更有解释力。