網路、身分驗證與應用程式中發生的變化，有時僅靠個別警示難以看清全貌。BASTION將多項觀測資訊關聯起來，整理維運人員需要確認的情況。

本文介紹多層關聯活動偵測的設計思路，以及實際維運中需要驗證的事項。

1. 從個別警示理解整體情況 #

當一台設備發出警示時，如果能確認其他觀測中發生了什麼，就能獲得更多理解情況的線索。這有助於判斷多項警示是否屬於相關活動，或是各自獨立的事件。

BASTION將觀測資訊關聯起來，並處理用於確認偵測結果及其依據的紀錄。發現資訊之間存在關聯，與判斷其屬於攻擊，是需要區分評估的兩件事。

2. 讓判斷依據可以查核 #

要在維運中使用關聯結果，就需要能夠事後確認結果是依據哪些觀測而得。我們將觀測到的事實、由此作出的解釋，以及實際採取的措施分開處理。

當作出判斷所需的資訊不足時，同樣需要能夠辨識這種不足。沒有偵測到異常，與未取得充分資訊，並不表示同一回事。

3. 結合維運條件處理偵測結果 #

將偵測結果用於防禦時，也需要確認對正常使用者與業務的影響。BASTION在設定適用範圍與保護條件的基礎上處理回應措施。

我們依各部署環境的需求，整理可觀測的範圍、允許執行的操作，以及與現有維運的銜接。明確劃分從偵測到回應各環節的職責，有助於維運中的查核與調整。

4. 分別驗證偵測數量與實際效果 #

我們在自有環境中查核偵測結果與回應歷程。不過，僅憑偵測數量增加，不能說明防禦效果有所提升，也不能說明誤報較少。

需要分別確認是否漏掉異常，以及是否影響正常使用。適用範圍與準確性應依環境與觀測條件進行驗證。這並不保證能夠全面偵測包括未知攻擊在內的所有攻擊，也不保證不會發生誤封鎖。

5. 部署時需要確認的事項 #

部署時，應先整理可用的觀測資訊與業務限制。需要考量能否持續取得所需資訊、如何查核偵測結果，以及回應措施會影響哪些使用者。

BASTION目前的功能與驗證情況，請參閱服務介紹頁面。部署與評估範圍將依目標環境與需求個別報價。

6. 本文的說明範圍 #

本文說明可公開的設計思路，不刊載詳細評估公式、內部設定或個別環境資訊。