1. 课程导入与工程全景
网络威胁情报融合与流量关联工程，是一门把“外部情报”与“内部流量证据”拼合成可行动结论的工程学科。它要解决的问题很具体：安全团队每天收到大量 IOC、情报订阅、沙箱报告和告警，但真正能回答“这台主机是否已被某个已知攻击者控制、数据是否正在外传”的证据，往往藏在网络流量里。情报告诉你“谁可能有问题”，流量告诉你“此刻到底发生了什么”，而融合与关联工程负责把这两者对齐到同一时间轴、同一实体和同一置信度上。
从工程目标看，本节要建立三个基本认识。第一，情报不是结论，而是假设。一条 IP 信誉记录、一个域名或一段 JA3 指纹，只说明“值得关注”，不说明“已经失陷”。第二，流量不是全貌，而是证据面。NetFlow、DNS 日志、TLS 元数据、PCAP 各自只覆盖一部分事实，必须交叉验证。第三，关联的本质是实体对齐。把情报中的 IP、域名、文件哈希、证书指纹，与流量中的五元组、会话、进程、用户、资产标识映射到同一实体，才能形成可追溯的判断链。
要理解这门课的全景，最有效的方式是看清数据从“原始情报”到“处置结论”的流动路径，以及每一层需要做的关键处理。下图给出本节的核心工程视图：左侧是多源情报输入，中间是融合与关联引擎，右侧是流量观测与输出结论，底部是贯穿全流程的实体与时间基准。
这张全景图揭示了本课程的三个核心挑战。第一是数据异构：情报侧常见 STIX 2.1、MISP、CSV，流量侧有 NetFlow v9/IPFIX、Zeek 日志、JSON 告警，字段命名、时间精度、IP 表示方式都不一致。第二是时间错位：情报的“有效期”可能是 30 天，而流量观测窗口只有 7 天，若不做时间窗对齐，关联结果会大量漏报或误报。第三是置信度传递：一条低置信度情报命中一次普通 DNS 查询，不应直接升级为事件；但若同一实体在短时间内同时命中高置信度 C2 域名、异常 TLS 指纹和大量外传字节，则置信度应显著上升。
下面用一个可操作的教学示例说明关联过程。假设我们收到一条情报：domain: update-checker.example.net，类型为 C2，置信度 75，有效期至 2025-06-30。同时，我们从 DNS 日志中提取到某内网主机 10.20.30.41 在 2025-06-18 14:22 查询了该域名，解析结果为 203.0.113.88；随后 NetFlow 显示该主机在 14:23 与 203.0.113.88:443 建立了持续 420 秒、上传 18.6 MB 的会话；TLS 元数据中 SNI 为 update-checker.example.net，JA3 指纹为 a0e9f5b3c1d2e4f6a8b0c2d4e6f8a0b1。
关联引擎的处理逻辑可以概括为：先做实体对齐，把域名、IP、主机、会话映射到同一实体；再做时间窗匹配，确认 DNS 查询、TLS 握手、NetFlow 会话都落在情报有效期内且彼此间隔小于 5 分钟；最后做置信度融合。示例评分规则可设为：基础情报置信度 75 分，多源印证（DNS + TLS + NetFlow 三源一致）加 15 分，异常外传行为（上传量超过该主机 7 天均值 3 倍）加 10 分，最终置信度 100 分，判定为高优先级事件。若只有 DNS 命中而没有任何后续连接，则仅保留 75 分，标记为“待观察”。
从技术栈角度看，这门课涉及的能力可以分成四层。最底层是采集与解析层，包括流量镜像、NetFlow 导出、Zeek/Suricata 日志、DNS 日志采集，以及 STIX/TAXII 情报接入。第二层是标准化与存储层，需要统一时间格式为 UTC、统一 IP 为点分十进制或整数、统一实体标识，并选择适合时序检索的存储（如 Elasticsearch、ClickHouse）和图存储（如 Neo4j）来保存实体关系。第三层是关联与分析层，核心是规则匹配、时间窗连接、图遍历和置信度评分。第四层是输出与处置层，把结论推送到 SIEM、SOAR 或工单系统，并保留完整证据链以便复核。
典型应用场景中，最值得优先掌握的是 C2 外联发现和数据外传识别。C2 外联的关联特征是：情报域名或 IP 命中、DNS 查询后短时间内出现 TLS 连接、连接具有周期性或固定间隔、JA3 指纹与已知恶意家族匹配。数据外传的关联特征是：上传字节数显著高于基线、目标地址为情报标记的存储或隧道服务、会话持续时间长且稳定、同一主机在非工作时段出现异常流量。这两类场景都要求把情报的“静态标签”转化为流量的“动态行为证据”，而不是简单做 IP 黑名单匹配。