网络、身份验证和应用程序中发生的变化，有时仅靠单独的告警难以看清全貌。BASTION将多项观测信息关联起来，梳理运维人员需要确认的情况。

本文介绍多层关联活动检测的设计思路，以及实际运维中需要验证的事项。

1. 从单独的告警理解整体情况 #

当一台设备发出告警时，如果能够确认其他观测中发生了什么，就能获得更多理解情况的线索。这有助于判断多项告警是否属于相关活动，或是各自独立的事件。

BASTION将观测信息关联起来，并处理用于确认检测结果及其依据的记录。发现信息之间存在关联，与判断其属于攻击，是需要区分评估的两件事。

2. 让判断依据可以核查 #

要在运维中使用关联结果，就需要能够事后确认结果基于哪些观测。我们将观测到的事实、由此作出的解释，以及实际采取的措施分开处理。

当作出判断所需的信息不足时，同样需要能够识别这种不足。没有检测到异常，与未获得充分信息，并不表示同一回事。

3. 结合运维条件处理检测结果 #

将检测结果用于防御时，也需要确认对正常用户和业务的影响。BASTION在设定适用范围和保护条件的基础上处理响应措施。

我们根据各部署环境的要求，梳理可观测的范围、允许执行的操作，以及与现有运维的衔接。明确从检测到响应各环节的职责，有助于运维中的核查与调整。

4. 分别验证检测数量与实际效果 #

我们在自有环境中核查检测结果和响应历史。不过，仅凭检测数量增加，不能说明防御效果有所提高，也不能说明误报较少。

需要分别确认是否漏掉异常，以及是否影响正常使用。适用范围与准确性应根据环境和观测条件进行验证。这并不保证能够全面检测包括未知攻击在内的所有攻击，也不保证不会发生误拦截。

5. 部署时需要确认的事项 #

部署时，应先梳理可用的观测信息和业务限制。需要考虑能否持续获得所需信息、如何核查检测结果，以及响应措施会影响哪些用户。

BASTION当前的功能和验证情况，请参阅服务介绍页面。部署与评估范围将根据目标环境和需求单独报价。

6. 本文的说明范围 #

本文说明可公开的设计思路，不刊载详细评估公式、内部设置或具体环境信息。