威胁情报

从可疑指标查找对应会话，并用上下文判断是否需要调查。

调查步骤

关联: 用会话 ID 将告警与设备、指标和抓包关联起来。
调查: 核对时间和方向，在拓扑图上确认通信跨越的边界。

相关资源

指标命中之后，还要查什么？

用时间窗口、目标服务和设备角色复核一次可疑命中。

从告警找到原始证据

通过关联 ID 从一次检测找到会话和对应抓包，再返回安全事件。