一、时间序列基础：揭开数据背后的时间密码

说到时间序列，你可能觉得它就是一堆带时间戳的数字。嗯，这么说也没错。但我做了这么多年安全分析，越来越觉得时间序列更像是一台精密的「时间显微镜」——它能让我们看到数据在时间轴上的完整生命轨迹。

我个人习惯把时间序列定义为：按时间顺序排列的观测值集合。举个例子，你每天记录一次服务器上 Secrets 的访问次数，一周后你就有了一个长度为 7 的时间序列。

1.1 什么是时间序列？

说白了，时间序列就是「数据+时间」。但这里面有个关键点：数据点之间的顺序不能乱，而且相邻观测值往往有依赖关系。我在追查一次 Secrets 泄露事件时，就是因为忽略了相邻访问之间的关联，漏掉了一个关键的异常模式——后来才明白，时间序列中的每一个点都不是孤立的。

时间序列有几个典型特征：

• 有序性：数据点按时间先后排列，交换顺序就丧失意义
• 等间隔性：通常采集间隔固定，比如每5分钟、每小时、每天
• 自相关性：当前值与过去值存在统计依赖
• 非平稳性：很多真实数据会随时间漂移，均值、方差可能变化

1.2 时间序列的四大组成要素

为什么要拆解成要素？我在项目中遇到过：一次告警风暴里，所有的访问量曲线都在上涨，但如果不拆解，你根本分不清到底是正常业务增长（趋势），还是周期性轮转（季节），还是某次灾难性故障（残差）。

我把这四个要素整理成一个表格，方便你对照理解：

要素	英文	核心含义	Secrets 场景举例
趋势	Trend	长期上升或下降的方向	某 Secret 被访问次数逐月递增（如业务扩张）
季节	Seasonal	固定周期（如周、月、年）内的重复模式	每天上午9点～11点访问量激增（上班高峰）
周期	Cyclic	非固定长度的涨落（通常 >1年）	每季度末审计前出现访问小高峰，但周期不固定
残差	Residual	去掉前三个要素后剩下的随机波动	某次异常访问突然暴增——这往往是我们要抓的“贼”

1.3 如何直观理解这四个要素？

我们拿一个 Secrets 访问日志的时间序列来拆解。假设你有一个 API ，每天被调用次数记录如下（简化数据）：

# 模拟某  连续 90 天的访问次数（单位：千次）
import numpy as np

np.random.seed(42)
days = 90
trend = 0.1 * np.arange(days) + 5                     # 缓慢增长趋势
seasonal = 2 * np.sin(2 * np.pi * days / 7)            # 周季节
cyclic = 1.5 * np.sin(2 * np.pi * days / 30)          # 月周期波动
residual = np.random.normal(0, 0.5, days)              # 随机噪声
series = trend + seasonal + cyclic + residual          # 合成序列

你看，真实的访问量就是这四项的叠加。我曾经犯过一个错误：直接对原始序列做阈值告警。结果白天黑天的流量差异（季节性）就能触发一大批误报。后来我把季节性剥离掉，只对残差做检测，误报率立马降了80%。

1.4 要素拆分的实用方法——经典分解（Classical Decomposition）

怎么把四个要素从数据里拆出来？经典做法是：

1. 先提取趋势：用移动平均法。比如窗口大小为7天，计算平均得到趋势线。
2. 再提取季节性：从原始数据中减去趋势，按每个周几计算平均值，得到季节因子。
3. 最后得到残差：原序列减去趋势再减去季节，剩下的就是随机残差。

1.5 本章知识体系总览

下面是第一章的核心结构图。我把它画成一张SVG，方便你建立整体认知：

这张图把本章的知识点串了起来。从时间序列基础出发，四个核心要素，再到两种主流分解方法，最后落地到 Secrets 异常检测的两个具体场景。你把自己放在这个框架里，后续章节都会围绕它展开。

1.6 避坑指南：我踩过的三个坑

• 坑一：忽略等间隔要求。 我曾经从 Kubernetes 审计日志里直接拉出时间序列，没注意数据点间隔不均匀。结果移动平均画出来的趋势线歪歪扭扭，完全没法用。后来加了重采样（resample）到分钟级别才解决。
• 坑二：把周期性当作季节性。 有个 Secret 每 2～3 个月出现一次访问高峰，我以为是季度性，套了固定的季节模型。结果模型老是漏报。后来才发现那是业务项目组不定期的轮转周期，应该用 Cyclic 而不是 Seasonal 来处理。
• 坑三：残差阈值设得太死。 残差并不总是白噪声。真实数据中的残差也可能有轻微的异方差。我刚开始设固定 ±3σ 阈值，实际告警量要么爆炸要么为零。后来改成动态阈值——用滑动窗口计算残差的标准差，好多了。