来自单一安全服务的单个告警仅表明发生了某事。将该信号与其他服务活动及您自身的业务上下文结合分析，您即可判断所发生的事件是否属于多阶段攻击的一部分。考虑一个简短序列：某身份从未使用过的源地址调用了 GetCallerIdentity。数分钟之内，[……]