先看异常在哪里
从正常规律开始比较。
系统
“客服账号凌晨2:03登录。”
小白
“凌晨登录就一定有问题吗？”
师傅
“先看这个岗位平时什么时候工作。”
客服主管
“正常是每天8点到18点。”
小白
“那凌晨登录明显偏离平时规律。”
【 第 3 步 】
监测大屏中心
师傅：“系统开始持续运行以后，问题不一定表现为一个明确漏洞，有时只是某个行为突然变得不一样。今天监测大屏出现一条提示：一个客服账号凌晨2点登录会员系统，20分钟内连续查询8万条客户记录，来源终端也是第一次出现。
我们先把这种偏离正常时间、权限、访问频率、数据范围或系统状态的行为叫做异常。判断异常时使用六问研判法：谁、何时、何地、做什么、多少、是否授权；同时建立正常基线，比较同一岗位平时的登录时间、访问量和数据范围。
异常只是需要调查的信号，合法批处理、业务高峰和系统升级也可能造成看起来不正常的行为。”
01 · 现场对话
监测大屏中心的知识任务
用六个问题快速研判
先把关键事实问清楚。
师傅
“第一个问题？”
小白
“谁？”
师傅
“然后呢？”
小白
“什么时候、从哪里、做了什么、数量多少、有没有授权。”
师傅
“很好。”
和正常基线比较
异常需要有参照物。
小白
“这个客服一次查了8万条。”
师傅
“平时呢？”
客服主管
“单次通常不到100条。”
小白
“那数量也明显异常。”
师傅
“时间、终端和数量同时异常，优先级就会上升。”
先别急着定事件
异常可能有正常解释。
小白
“现在可以说账号被盗了吗？”
师傅
“还不能。”
小白
“为什么？”
师傅
“先查有没有临时任务、审批、批处理或其他合理解释。”
小白
“如果都没有，再继续升级调查。”
02 · 小白做现场笔记
重要概念及注释
异常行为
- 正式含义
- 偏离正常业务规律、权限边界、时间规律、访问频率、数据范围或系统状态的行为。
异常也可能来自业务高峰、批处理任务或系统升级，因此不能直接视为恶意行为。 - 常见异常
- 异常登录 异常查询 异常导出 异常权限变化 异常接口调用 日志突然停止 异常系统资源
异常说明“需要调查”，不等于已经确认发生攻击。
正常基线
- 正式含义
- 对正常业务行为规律的描述，用于和当前行为进行比较。
- 常见基线维度
- 工作时间 常用终端 常见来源IP 平均查询量 导出频率 常访问的数据表 接口调用频率教材要求异常行为与个人、岗位、部门和系统基线比较。
- 记忆类比
- 正常基线像给一个岗位的日常工作拍下“行为标准照片”。
今天发生的事情，再和这张照片比较。
不先知道“平时怎样”，就很难判断“今天到底异常不异常”。
六问研判法
- 正式含义
- 面对异常行为时，用六组问题快速补齐关键事实。谁？ → 哪个账号、人员、终端或应用 何时？ → 什么时间、持续多久 何地？ → 来源IP、终端、网络区域 做什么？ → 查询、导出、修改还是删除 多少？ → 数据量、频率、影响行数 是否授权？ → 有没有审批、任务或业务解释这是第四模块异常研判的核心方法。
看到异常先问清谁、何时、何地、做什么、多少、有没有授权。
异常监测
- 正式含义
- 持续观察账号、权限、查询、导出、接口和系统状态，发现偏离正常规律的活动。
- 面包厂场景
- 正常客服 每天查询约200笔订单 突然出现 20分钟查询8万条会员记录 ↓ 监测平台产生异常提示 ↓ 进入人工研判
异常监测负责从大量正常活动中，把“明显不一样的那一小部分”挑出来。
告警优先级
- 正式含义
- 根据异常涉及的数据、账号、业务影响和持续状态，决定先调查哪些告警。
- 优先级通常提高的情况
- 高权限账号 + 敏感或大量数据 + 异常来源 + 持续或重复发生 + 业务影响扩大教材特别指出，告警持续出现或风险仍在扩大，以及系统不可用、数据错误等业务影响，会提高处置优先级。
告警很多时，先处理“影响大、还在继续”的。
03 · 经验和难点
小结
这一站，小白通过时间、来源终端、查询数量和授权情况，对一次夜间批量查询进行了基础异常研判。最值得记住的经验是：异常判断必须和正常基线比较，并围绕六个问题补齐事实。初学者最容易遇到的难点，是把“和平时不一样”直接等同于恶意行为，而没有先排除业务高峰、批处理和临时授权等正常原因。