2. 遥测数据源与采集点规划
遥测工程的第一道分水岭，不是“用什么平台”，而是“从哪里取数”。同一类攻击在不同数据源上的可见性差异极大：一次凭据窃取可能只在身份日志里留下异常登录，一次横向移动可能只在主机进程树和网络连接里留下痕迹，而一次云上数据外泄可能只在对象存储访问日志和云审计日志中体现。因此，采集点规划的本质是：围绕检测目标，把有限的采集能力投放到“证据密度最高、篡改难度最大、成本可接受”的位置。
一、五类遥测来源及其证据特征
工程上通常把遥测来源划分为主机、网络、云、身份、应用五类。它们不是并列的“选项”，而是互补的证据层。
- 主机遥测：进程创建与命令行、父子进程关系、文件写入与权限变更、注册表/计划任务、内核模块加载、内存与句柄。优势是语义丰富、能还原攻击链细节；劣势是端点覆盖不全、易被攻击者关闭或卸载代理。
- 网络遥测：NetFlow/IPFIX 流记录、DNS 查询与响应、TLS 元数据（SNI、证书、JA3/JA4）、HTTP 代理日志、IDS/NDR 告警。优势是难以在终端侧规避、能覆盖未装代理的设备；劣势是加密后内容不可见、流量大、存储成本高。
- 云遥测：云审计日志（如 CloudTrail、ActionTrail）、对象存储访问日志、VPC 流日志、容器与 K8s 审计日志、Serverless 调用日志。优势是控制面操作几乎全量留痕；劣势是各云厂商字段异构、日志投递有延迟。
- 身份遥测：域控认证事件（如 4624/4625/4768/4769）、SSO 登录、MFA 挑战、OAuth 授权、特权角色授予、条件访问命中。优势是攻击者“必须登录”才能行动，身份是贯穿全链路的锚点；劣势是量大、噪声高、需要基线。
- 应用遥测：Web 访问日志、API 网关日志、业务审计日志、数据库审计、消息队列消费记录。优势是能直接对应业务影响与数据访问；劣势是格式自定义、字段缺失普遍。
下图给出五类来源在一条典型攻击链上的证据分布与采集点位置关系，用于判断“哪一层缺失会导致哪一段盲区”。
二、采集点选择原则
采集点不是越多越好，而是要在“看得见”和“扛得住”之间取平衡。以下五条原则可直接用于评审采集方案。
- 贴近证据源，而非贴近告警源：优先采集原始事件（如进程创建、认证成功），而不是只采集厂商告警。告警是结论，原始事件才能支撑关联与回溯。
- 优先不可绕过点：网络出口、云控制面、域控、API 网关这类位置，攻击者难以关闭或卸载，证据可信度高于终端本地日志。
- 保证时间与身份可对齐：所有采集点必须统一 NTP，并携带可关联的主体标识（账号、主机名、容器 ID、云资源 ARN）。没有对齐的时间戳，关联分析会退化为猜测。
- 按检测用例反推字段：先写清楚要检测什么，再确定需要哪些字段。例如检测“Kerberoasting”，至少需要 4769 事件中的服务名、加密类型、源 IP 与账号。
- 可观测性优先于完整性：在预算受限时，宁可对高价值资产全量采集，也不要在全资产上做低价值采样。
三、覆盖度与成本权衡
覆盖度与成本并非线性关系。以主机遥测为例，假设某企业有 8000 台终端、600 台服务器。若全量采集进程创建事件，按每台终端日均 3000 条、服务器日均 20000 条估算，日增约 8000×3000 + 600×20000 = 3600 万条。若每条原始事件约 1.2 KB，日增约 43 GB，保留 90 天约 3.9 TB。这还未计入索引膨胀与查询算力。
一个可落地的分层策略是：
| 资产层级 | 采集范围 | 保留策略 | 典型对象 |
|---|---|---|---|
| 核心层 | 主机全量 + 网络全量 + 身份全量 | 热存 90 天，冷存 1 年 | 域控、云管平台、数据库、堡垒机 |
| 重要层 | 主机关键事件 + 网络流 + 身份关键事件 | 热存 30 天，冷存 180 天 | 业务服务器、办公服务器 |
| 一般层 | 主机关键事件 + 网络流采样 | 热存 14 天 | 普通办公终端 |
需要强调的是，采样必须“可解释”。例如对 NetFlow 做 1:100 采样时，应保留采样率字段，否则后续做流量基线或外传量估算时会产生系统性偏差。同理，对 DNS 日志做过滤时，应至少保留 NXDOMAIN、长域名、高频查询三类，而不是简单丢弃“看起来正常”的记录。
四、一个可执行的采集点清单示例
以下清单可直接作为采集规划评审的输入模板，字段按“来源—采集点—关键字段—用途”组织。
来源: 身份
采集点: 域控安全日志 (4624/4625/4768/4769/4672)
关键字段: 时间戳, 账号, 源IP, 登录类型, 服务名, 加密类型, 结果码
用途: 异常登录检测、Kerberoasting 检测、特权使用审计
来源: 主机
采集点: EDR 进程创建事件
关键字段: 时间戳, 主机名, 父进程, 子进程, 命令行, 用户, 文件哈希
用途: LOLBin 检测、Office 派生进程检测、进程树异常关联
来源: 网络
采集点: 出口 DNS 日志
关键字段: 时间戳, 客户端IP, 查询域名, 响应码, 记录类型
用途: DGA 检测、C2 域名识别、隧道行为发现
来源: 云
采集点: 云审计日志
关键字段: 时间戳, 调用者身份, 操作API, 资源ARN, 源IP, 结果
用途: 密钥滥用检测、权限提升检测、存储桶异常访问
来源: 应用
采集点: API 网关访问日志
关键字段: 时间戳, 用户ID, 接口路径, 状态码, 请求体大小, 源IP
用途: 越权访问检测、注入探测、异常调用频率分析采集点规划完成后，应做一次“反向验证”：随机抽取过去一周内已知的真实告警或事件，检查其证据链是否能在当前采集方案中被完整还原。若还原度低于预期，说明采集点选择或字段保留仍有缺口。覆盖度不是靠数量堆出来的，而是靠“每个关键阶段都有可关联的证据”来保证的。