单设备监控存在结构性盲区 #

迄今为止，BASTION 一直是针对每台设备分析日志来检测异常。无论是防火墙端口扫描、Web 服务器上的机器人攻击，还是 AD 认证失败——只要任何一台设备超过阈值，我们就会将其阻断。

然而，这种方法无法检测由低于阈值的攻击组合而成的攻击活动。

为了检测这种”单独看不见、跨系统才能看见”的模式，我们在 BASTION 中实现了多层关联引擎。

多层防御架构 #

BASTION 所监控的基础设施由 5 个防御层组成。

过去，这 5 个层级是各自独立监控的。多层关联引擎通过将同一个 IP 关联起来，对所有层级进行横向追踪。

痕迹积累与关联 #

多层关联引擎的核心，是一套在各层级之间积累攻击源 IP”痕迹”的机制。

Periodic analysis every 15 minutes
  → Extract IPs from logs of each layer
  → Record to trace registry "when, in which layer, what was detected"
  → Auto-detect IPs appearing in multiple layers
  → If threshold exceeded, judge as campaign → Auto-block

即使各个层级单独看严重程度较低，随着痕迹在多个层级之间不断积累，关联评分也会上升，一旦被判定为攻击活动即会触发自动阻断。

实际的攻击活动检测 #

在实现多层关联引擎后不久，针对一次真实攻击，攻击活动检测就被触发了。

该 IP 表现出以下行为模式。

单独任何一层都不会触发高等级判定。但由于同一个 IP 出现在 3 个层级中，多层关联引擎将其判定为攻击活动，并触发了自动阻断。

这为何重要 #

与 Fail2Ban 的根本区别 #

Fail2Ban 是一款出色的工具，但它只能进行单一日志文件的阈值判定。例如”如果 nginx-error.log 中出现 10 次 403，就予以封禁”。这是局限于单台设备单个日志的判定。

多层关联引擎在所有设备日志中追踪同一个 IP 的行为模式。它能从日志上下文中检测出”低频、跨多层”的攻击活动——这是单台设备无法检测到的。

接入设备越多，准确度越高 #

当一台新设备的 syslog 接入 BASTION 时，多层关联就会新增一个”层级”。随着层级增加，同一个 IP 的行为模式会从更多角度被观察到，攻击活动检测的准确度也随之提升。

这是传统监控工具（各设备独立分析）所不具备的特性。使用 BASTION，被监控对象越多，整个系统的防御能力就越强。

安全设计 #

由于多层关联会触发自动阻断，误报风险管理至关重要。

总结 #

我们在 BASTION 中实现了多层关联引擎，用于跨所有系统日志自动检测攻击活动。即使攻击低于单台设备的阈值，只要同一个 IP 出现在多个防御层中，就会被判定为攻击活动并触发自动阻断。

实现后不久，针对一次真实攻击，跨层攻击活动检测便在 3 个层级上被触发，完成了概念验证。BASTION 正在从”单设备监控工具”进化为”跨系统攻击活动检测引擎”。