---
title: 多层关联活动检测的设计思路
description: 介绍BASTION多层关联活动检测的设计思路，包括观测信息的关联、判断依据、对正常使用的影响以及验证思路。
url: "https://bestnetllc.co.jp/zh-hans/docs/%e5%a4%9a%e5%b1%82%e7%9b%b8%e5%85%b3%e6%b4%bb%e5%8a%a8%e6%a3%80%e6%b5%8b%e6%9c%ba%e5%88%b6/"
updated: "2026-11-01"
category: Tech Blog / AI安全运营
---

# 多层关联活动检测的设计思路

BASTION 技术说明2026-05-10

2026-11-01 更新

# 多层关联活动检测的设计思路

结合多项观测信息，梳理需要确认的情况

 作者：Hideyuki Chinda / BESTNET LLC

网络、身份验证和应用程序中发生的变化，有时仅靠单独的告警难以看清全貌。BASTION将多项观测信息关联起来，梳理运维人员需要确认的情况。

本文介绍多层关联活动检测的设计思路，以及实际运维中需要验证的事项。

## 1. 从单独的告警理解整体情况

当一台设备发出告警时，如果能够确认其他观测中发生了什么，就能获得更多理解情况的线索。这有助于判断多项告警是否属于相关活动，或是各自独立的事件。

BASTION将观测信息关联起来，并处理用于确认检测结果及其依据的记录。发现信息之间存在关联，与判断其属于攻击，是需要区分评估的两件事。

## 2. 让判断依据可以核查

要在运维中使用关联结果，就需要能够事后确认结果基于哪些观测。我们将观测到的事实、由此作出的解释，以及实际采取的措施分开处理。

当作出判断所需的信息不足时，同样需要能够识别这种不足。没有检测到异常，与未获得充分信息，并不表示同一回事。

## 3. 结合运维条件处理检测结果

将检测结果用于防御时，也需要确认对正常用户和业务的影响。BASTION在设定适用范围和保护条件的基础上处理响应措施。

我们根据各部署环境的要求，梳理可观测的范围、允许执行的操作，以及与现有运维的衔接。明确从检测到响应各环节的职责，有助于运维中的核查与调整。

## 4. 分别验证检测数量与实际效果

我们在自有环境中核查检测结果和响应历史。不过，仅凭检测数量增加，不能说明防御效果有所提高，也不能说明误报较少。

需要分别确认是否漏掉异常，以及是否影响正常使用。适用范围与准确性应根据环境和观测条件进行验证。这并不保证能够全面检测包括未知攻击在内的所有攻击，也不保证不会发生误拦截。

## 5. 部署时需要确认的事项

部署时，应先梳理可用的观测信息和业务限制。需要考虑能否持续获得所需信息、如何核查检测结果，以及响应措施会影响哪些用户。

BASTION当前的功能和验证情况，请参阅服务介绍页面。部署与评估范围将根据目标环境和需求单独报价。

## 6. 本文的说明范围

本文说明可公开的设计思路，不刊载详细评估公式、内部设置或具体环境信息。

已重新审视公开说明的范围，并整理为设计思路和验证注意事项。

[BASTION 服务介绍](https://bestnetllc.co.jp/zh-hans/bastion-4/)

[联系我们](https://bestnetllc.co.jp/zh-hans/contact-4/)