企业与分支网络

分支终端首次连接内部服务时，分析员需要区分正常业务访问与横向移动。

调查步骤

先看会话的发起端。文件传输量大可能来自正常备份，小流量也可能是一次探测。
打开设备详情，核对它属于办公区还是服务器区，再检查会话方向是否符合该设备的角色。
若访问跨越预期边界，保留会话 ID 和对应抓包，交给下一位分析员复查；单凭数据量不足以定性。

相关资源

安全运营中心

按影响范围分诊告警，再把设备、会话和证据归入同一事件。

从会话方向重建横向访问

同一对设备可以交换大量数据。谁发起连接、经过哪个边界，比单看字节数更有解释力。