一次完整的溯源，通常不是从“发现攻击”开始的，而是从一条可疑告警开始的。本文以一次授权环境中的事件复盘为例，演示如何把零散告警还原为可追溯、可举证、可复用的攻击链路。
一、起点：一条低置信度告警
事件始于某边界设备在深夜出现的一次异常外联。按单点规则看，目标域名不在黑名单、协议合规、流量不大，置信度很低，很容易被当作误报忽略。
决定继续跟进的信号只有一个：该外联与两小时前一次失败的登录尝试存在时间关联。这个关联本身不构成证据，但足以启动一次完整溯源。
二、还原：把事件铺到时间线上
溯源的第一步是拉齐数据源：边界日志、认证日志、DNS 解析记录、进程启动记录。将四类数据按时间对齐后，事件开始呈现层次：
- 入口阶段：一条被忽略的弱口令登录尝试，来自海外跳板 IP；
- 驻留阶段：登录成功后创建计划任务，回连频率极低；
- 横向阶段：凭据被复用访问内网共享目录，读取了配置备份；
- 外带阶段：数据经压缩改名后，走常规文件传输通道外传。
单个告警是“点”，时间线把点连成“线”，跨源关联再把线织成“网”。溯源的本质是还原这张网。
三、关键：证据节点的交叉验证
每条推断都必须有至少两个独立数据源支撑。例如“驻留”结论，同时由进程记录（计划任务条目）与网络行为（周期性回连）佐证；“凭据复用”同时由认证日志与共享访问记录佐证。单一数据源的推断只作为假设，不作为结论。
交叉验证还有一个作用：排除干扰。复盘中发现一条看似相关的告警，最终被确认属于同网段另一台设备的正常运维操作，若不交叉验证，会污染整条证据链。
四、输出：可交付的溯源报告
完整链路还原后，按以下结构沉淀报告：
- 攻击概览：入口、路径、影响范围、处置状态；
- 证据时间线：每个阶段的关键事件与对应日志来源；
- 根因分析：弱口令、权限过宽、日志不全等薄弱环节；
- 处置与加固清单：按优先级排列的可执行动作。
这份报告同时作为后续检测规则的复盘输入：把“事后才能关联”的步骤前置为检测逻辑，提升同类事件的发现速度。
五、小结
这次复盘的结论并不复杂，但过程说明了溯源的核心价值：它把“处理告警”升级为“理解事件”。这也是 RiaBy Brain V2 溯源引擎的设计出发点——用跨源关联与时间线重构，把分析师重复劳动交给引擎，把判断力留给分析师。
本文为方法论复盘，事件细节已脱敏，不涉及真实环境与敏感数据。