金融业务网络

调查关键应用的异常访问时，将身份、设备和响应记录保存在同一条时间线上。

调查步骤

打开告警中心并选择一条记录。读出关联设备和会话 ID，以便在后续视图中核对。
进入会话详情，比较协议、两端地址与检测时间，然后打开关联的 PCAP。
返回事件并检查时间线上的关联告警。相同的标识应指向刚才查看的对象。

相关资源

事件响应

按时间线组织证据、分派负责人，并记录下一班分析员需要复核的事项。

指标命中之后，还要查什么？

用时间窗口、目标服务和设备角色复核一次可疑命中。