一、课程导论：什么是网络行为基线？为什么需要建立基线？异常检测模型的核心价值

1.1 从一次真实事件说起

我记得那是几年前的一个深夜，值班同事突然打电话给我：「内网流量不对劲，核心数据库的出口带宽被占满了。」我登录上去一看，流量曲线像心电图骤停前的那一下狂跳——每秒几十个G的对外发包。但奇怪的是，IDS没报警，防火墙规则也没触发。

为什么？因为攻击者用的是合法账号，走的也是正常的数据库端口。说白了，他伪装成了「正常流量」。那套安全设备只认签名和规则，不认识「这个用户平时从不半夜干活」这件事。

这件事让我彻底明白了一个道理：规则永远追不上变化，但行为习惯会留下痕迹。而我们要抓的，就是那个「不对劲」的痕迹。

1.2 什么是网络行为基线？

先别急着背定义。你想想看，你每天早上几点到公司？中午去哪吃饭？下午几点开始摸鱼？这些习惯一旦固定下来，哪天你突然凌晨三点登录VPN，同事肯定觉得你被盗号了。

网络行为基线，说白了就是给网络里的每个实体——用户、设备、应用、服务——画一张「日常行为画像」。这张画像包含：

• 时间规律：什么时间登录？什么时间访问数据库？
• 流量特征：平时上传下载多少数据？峰值在几点？
• 连接模式：常连哪些IP？用哪些端口？协议类型？
• 操作习惯：命令执行频率、文件访问路径、API调用序列。

我习惯把基线分成三个层次：

层次	对象	示例
单实体基线	单个用户/设备	张三的工作时间、常用IP、平均流量
群体基线	同类实体（如所有研发人员）	研发部门平均API调用频率、代码仓库访问模式
全局基线	整个网络/数据中心	总出口带宽日周期、协议分布比例

嗯，这里要注意：群体基线不能直接套到个人头上。我见过有人拿「研发部门平均下班时间」去检测个体，结果把天天加班的骨干标记成了异常——这就不合理了。

1.3 为什么需要建立基线？

你可能要问：我直接上规则引擎不行吗？行，但不够。

规则引擎的本质是「已知威胁的穷举」。你写一条规则防SQL注入，攻击者换个编码方式就绕过去了。你写一条规则防暴力破解，人家用慢速字典你根本防不住。

基线的思路完全不同——我不关心你具体用什么手法，我只关心你「像不像」你自己。

举个例子：

• 规则引擎：检测到连续5次登录失败 → 报警。
• 基线模型：这个账号平时每天登录2次，今天登录了50次 → 报警。

看出区别了吗？规则引擎需要你提前知道「5次」这个阈值。基线模型不需要——它自己从历史数据里学出来「2次」这个正常值。

建立基线的核心价值，我总结为三点：

1. 发现未知威胁：0-day攻击、内部威胁、APT潜伏——这些都没有已知签名，但行为一定会偏离基线。
2. 降低误报率：规则引擎的误报率通常在1%-5%，加上基线过滤后可以降到0.1%以下。
3. 自适应环境变化：业务扩张、系统升级、人员变动——基线可以自动更新，规则得手动改。

1.4 异常检测模型的核心价值

有了基线，下一步就是怎么用基线去「找茬」。这就是异常检测模型干的事。

异常检测模型的核心价值，我个人的理解是：把「感觉不对劲」变成「计算出来不对劲」。

你想想看，一个资深安全运维，盯着屏幕看久了，有时候会直觉「这个流量不太对」。但直觉没法复制，没法自动化，也没法审计。异常检测模型要做的，就是把这种直觉量化成数学指标。

常见的异常检测思路有几种：

方法	核心思想	适用场景
统计阈值	超过均值±3σ就算异常	流量大小、连接数等单维指标
时间序列分解	分离趋势+周期+残差，残差过大就是异常	周期性明显的流量（如Web访问量）
聚类分析	正常行为聚成一团，离群点就是异常	用户行为画像、设备行为分类
自编码器	训练模型只学会重构正常数据，异常数据重构误差大	多维特征、非线性关系的复杂场景

这些方法没有绝对的好坏。我个人的经验是：先简单，再复杂。能用3σ解决的问题，别上来就上深度学习。否则你解释不清为什么报警，老板也不信你。

1.5 本章知识体系总览

下面这张图，把本章的核心逻辑串起来了。你可以把它当作整个课程的「导航地图」。

1.6 这门课你会学到什么？

整个课程一共30章，我把它分成了四个阶段：

• 基础篇（第1-8章）：数据采集、特征工程、基线建立方法。你会亲手从原始流量日志里提取出有用的行为特征。
• 模型篇（第9-18章）：各种异常检测算法的原理和实现。从最简单的3σ到自编码器，每个模型我都会给可运行的代码。
• 实战篇（第19-25章）：真实场景的端到端案例。包括内网横向移动检测、数据泄露检测、账号失陷检测。
• 进阶篇（第26-30章）：模型评估、误报优化、分布式部署、持续学习。这些是真正把模型落地到生产环境的关键。

每一章我都会放一个可运行的代码示例，也会分享我在项目中踩过的坑。你跟着做一遍，基本就能在自己的环境里跑起来了。