网络检测研究

从会话方向重建横向访问

连接双方的身份、通信方向和区域边界，通常比单看传输了多少数据更能解释一次异常访问。

Ellis ColeNDR 工程师 · 基于模拟样本

先确认谁发起了连接

当两个资产出现在同一条告警中，先区分发起端与接收端。服务器主动发起的备份和工作站主动访问共享服务，可能使用同一种协议，却需要完全不同的核查步骤。

打开演示会话 SES-01。它记录了工程工作站 ws-eng-07 指向认证服务器 srv-auth-01 的 SMB 访问，目的服务端口为 445。这里的方向提供了一条可核查的线索，仍需结合设备职责和授权范围判断。

源设备属于办公区，目的设备属于服务区。分析员可以分别打开两端的资产记录，将这次连接与同一设备的其它会话对照。即便协议和端口相同，连接到存储设备和连接到认证服务器的业务含义也可能不同。

沿 SES-01 打开关联告警 ALT-01 和抓包 PCAP-01，核对协议、时间与端点。如果只能确认设备之间建立了连接，就把结论限定在这一层，并把尚待核实的授权条件留在调查记录中。

将事件交接给下一位分析员时，附上原始会话和相关证据的链接。接手的人可以从同一个样本继续调查，而不用根据一张孤立的曲线图重新猜测。