單一設備監控存在結構性的盲點 #

迄今為止，BASTION 一直針對各設備個別分析日誌以偵測異常。防火牆的連接埠掃描、Web 伺服器上的機器人攻擊、AD 身分驗證失敗——只要任一設備超過門檻值，就會加以封鎖。

然而，這種做法無法偵測到結合多個低於門檻值攻擊的攻擊活動。

為了偵測這種「單獨看不出來、但跨系統就能看見」的模式，我們在 BASTION 中實作了多層關聯引擎。

多層防禦架構 #

BASTION 所監控的基礎架構由 5 個防禦層組成。

過去，這 5 個層級是各自獨立監控的。多層關聯引擎則以相同 IP 為關聯依據，橫向追蹤所有層級。

軌跡累積與關聯 #

多層關聯引擎的核心，是一套能跨層累積攻擊來源 IP「軌跡」的機制。

Periodic analysis every 15 minutes
  → Extract IPs from logs of each layer
  → Record to trace registry "when, in which layer, what was detected"
  → Auto-detect IPs appearing in multiple layers
  → If threshold exceeded, judge as campaign → Auto-block

即使個別層級顯示的嚴重程度偏低，隨著軌跡在多個層級間累積，關聯分數會隨之上升，一旦被判定為攻擊活動，就會啟動自動封鎖。

實際的攻擊活動偵測 #

在實作多層關聯引擎後不久，這套機制就在一次實際攻擊中啟動了攻擊活動偵測。

這個 IP 呈現出以下的行為模式。

單就任何一個層級來看，都不足以觸發高等級判定。但正因為同一個 IP 出現在 3 個層級中，多層關聯引擎才將其判定為攻擊活動，並啟動自動封鎖。

這為何重要 #

與 Fail2Ban 的根本差異 #

Fail2Ban 是一款優秀的工具，但它只能執行單一日誌檔案的門檻值判定。例如「若 nginx-error.log 中出現 10 次 403，就封鎖」。這是侷限於單一設備、單一日誌的判定。

多層關聯引擎則跨所有設備日誌，追蹤同一 IP 的行為模式。它能從日誌脈絡中，偵測出「低頻率、跨多層」的攻擊活動——這是單一設備無法偵測到的。

連接的設備越多，準確度就越高 #

當新設備的 syslog 連接到 BASTION 時，多層關聯就會增加一個新的「層級」。隨著層級增加，同一 IP 的行為模式就能從更多角度被觀察到，攻擊活動偵測的準確度也隨之提升。

這是傳統監控工具（各設備獨立分析）所不具備的特性。在 BASTION 上，被監控的對象越多，整套系統的防禦能力就越強。

安全性設計 #

由於多層關聯會自動執行封鎖，誤判風險的管理至關重要。

總結 #

我們在 BASTION 中實作了多層關聯引擎，能跨所有系統日誌自動偵測攻擊活動。即使是低於單一設備門檻值的攻擊，只要同一個 IP 出現在多個防禦層中，就會被判定為攻擊活動，並觸發自動封鎖。

實作完成後不久，跨層攻擊活動偵測便在一次橫跨 3 個層級的實際攻擊中啟動，完成了概念驗證。BASTION 正從「單一設備監控工具」演進為「跨系統攻擊活動偵測引擎」。