Day 158 — 实战检测流程与评分模型

静态扫描 → 评分 → 定级 → 人工复核

flowchart TD
    A[授权环境/离线副本] --> B[只读遍历 资源限制]
    B --> C{可安全读取为文本?}
    C -->|否| D[记录跳过/错误 覆盖不全→退出码2]
    C -->|是| E[20+ 条规则 词法匹配]
    E --> F[加权评分 累计得分]
    F --> G{风险等级}
    G -->|critical ≥8| H[立即人工复核]
    G -->|high ≥5| H
    G -->|medium/低| I[合并行为信号再判断]
    H --> J[人工核对业务基线 数据流分析]
    I --> K[行为关联: 同主机同实例多信号]
    K -->|≥4分| H
    K -->|不足| L[记录观察 不自动处置]
    J --> M[保全证据 按事件响应流程处理]

不能从"命中"直接连到"删除"；不能从"没有命中"直接连到"安全"。 truncated / walk_errors 非空时，报告必须如实标注覆盖不全。

两类证据

静态：文件中的 API 名称 + 行号 → 加权评分 → 风险等级（复核线索）
行为：文件写入 + 子进程 + 命令参数 → 同主机、同进程启动标识、同时间窗 → 关联分
                                   ↓
                      结合基线进行人工审阅

评分模型

• 权重 1–3（命令执行/动态求值 3，编码混淆 2，弱特征 1）
• 同规则重复命中：第 1 次记权重，之后每次 +1，单规则封顶 3 次
• 等级阈值：critical ≥8 · high ≥5 · medium ≥3 · low ≥1 · clean 0

进程 PID 会复用；只有 PID 相同不足以关联两个事件，instance 必须含启动身份。 教程、注释、文档也可能命中危险 API 名称，需用业务基线压制误报。