总分析日志量
—
THREAT INTELLIGENCE / OVERVIEW
让异常有迹可循。
以机器学习发现异常，以业务语义核实风险，以证据链解释决策。
当前查看演示数据。业务数据与验收样例分别统计，不混用行为历史。
ML 原始高分事件
—
语义确认告警
—
高分事件压制比例
—
风险研判队列 0
点击事件，查看触发逻辑与多源证据链
| 时间 / CST | 主体 | 异常分数 | 研判 / 处置 | 规则命中 | |
|---|---|---|---|---|---|
| 正在读取告警… | |||||
—异常分数为相对异常程度，不是攻击概率
降噪审计
保留高分但没有语义规则命中的事件，以便人工复核。
EXPLAINABLE BY DESIGN
检测方法与统计口径
系统以独立正常历史建立行为基线，通过孤立森林获得异常分数，再用业务语义规则进行二次研判。原始日志、特征快照、规则解释和前序事件均可查询，构成可追溯的检测闭环。
01 / 因果特征
小时偏离度、敏感等级、动作频率、新 IP、首次资源访问、连续失败次数、读取比例、传输字节量、文件数量。所有上下文只使用当前事件之前的历史。
02 / 四条语义规则
R1：在配置的工作时段之外压缩或上传敏感对象。
R2：10 分钟内连续至少 5 次失败后登录成功。
R3：在保留历史中首次访问最高敏感等级资源。
R4：敏感对象复制到移动设备，需核实授权。
03 / 默认分层决策
分数 ≥ 0.8 且命中规则 → 高危确认。
分数 ≥ 0.8 且无规则 → 压制并留档。
0.5 ≤ 分数 < 0.8 且至少两条规则 → 中危关注。
其他 → 普通记录。实际阈值以检测时配置版本为准。
04 / 演示边界
500 条正常历史只参与训练；145 条模拟测试日志参与效果统计。压制比例 = 被压制高分事件 / ML 高分事件，不等同于真实误报下降率。规则“确认”属于系统决策，仍需人工调查。
已支持日志导入、角色权限、版本化配置、告警调查与关闭。人工结论保留审计，但尚不自动用于训练。当前模型使用模拟正常历史训练，需进一步用真实业务基线验证；未接入岗位权限目录。
日志导入
上传 UTF-8 CSV / JSON，每次最多 1 MiB、1000 条。先预检再确认；任一行不合格则整批不入库，重复事件自动跳过。
下载的模板含人工构造的验证事件，请导入“验收样例”。业务日志请选择“业务导入”，时间需晚于该数据区最后一条日志。当前模型仍使用模拟正常历史训练，不能据此宣称真实业务准确率。
持续日志接入
为自己的采集程序创建独立凭证，持续提交四类标准化日志。凭证只可写入所选数据区；不能读取告警或管理账户。
采集端每 2 秒检查追加文件，检测器每 2 秒检查队列。日志需合并后按时间顺序提交；迟到记录会明确拒绝，不能静默跳过。
接入步骤与四源样例
下载并运行 collect_logs.py，指定日志文件、断点文件、仅包含凭证的私有文件及网站地址。标准 JSONL 每行一个对象，包含 ts、source、user、action、target；先在验收区验证。
最近导入批次
检测规则配置
修改后自动用于后续检测。已有结果不重算，每条告警保留当时的配置版本与参数。
配置历史
账号与权限
管理员：导入、规则、账号管理、告警调查。分析人员：查看所有数据区、证据与导入结果，处理告警。首次登录必须修改初始密码。
操作审计
记录登录、账号变更、日志导入、配置更新和告警处置。密码和会话令牌不写入审计内容。