如何通过WSO2检测非连续的指定无序事件模式？

你完全找对方向了——按源IP+目标IP对流进行分区正是解决这个问题的核心方案！

先分析你当前代码的局限 #

• 第一种写法 from every (e1=Events) -> e2=Events within 10 min 里的括号会让引擎只匹配e1之后紧接着到达的e2，中间只要插了无关事件，这个匹配序列就会中断，自然检测不到非连续的目标模式。
• 第二种写法去掉了括号，但没有做分区，会导致不同源/目标的事件互相干扰——比如源A的扫描事件，可能会错误匹配到源B的攻击事件，完全不符合你“源1到目标2”的精准匹配要求。

正确的EPL实现方案 #

结合分区逻辑，我们可以让每个“源IP-目标IP”组合的事件流独立处理，彻底忽略中间的无关事件：

-- 按源IP和目标IP分区，确保每个源-目标组合的事件流独立，互不干扰
partition by Source_IP4, Target_IP4
-- 监听每个分区内的扫描事件，之后10分钟内的攻击事件（无关事件不影响匹配）
from every e1=Events(type='Scan') -> e2=Events(type='attack') within 10 minutes
-- 提取关键告警字段
select 
    e1.Source_IP4 as source_ip,
    e1.Target_IP4 as target_ip,
    e1.timestamp as scan_event_time,
    e2.timestamp as attack_event_time,
    'Scan followed by vulnerability exploit attempt detected' as alert_message
insert into Alert;

为什么这个方案能解决你的问题 #

1. 分区逻辑的作用：partition by Source_IP4, Target_IP4 把全局事件流拆分成了无数个小的子流，每个子流对应唯一的“源IP-目标IP”组合。这样源1到目标2的事件，绝对不会和源3到目标4的事件混在一起处理，彻底避免跨组合的误匹配。
2. 事件匹配逻辑：every e1=Events(type='Scan') -> e2=Events(type='attack') 在每个子流里，每出现一次扫描事件，就开启一个10分钟的监听窗口——不管中间插了多少无关事件，只要窗口内出现同子流的攻击事件，就会触发告警。无关事件要么属于其他子流，要么不会触发当前的匹配条件，完全不影响检测逻辑。

针对企业大流量场景的优化建议 #

• 如果你的业务逻辑要求“仅匹配最近一次扫描之后的攻击”，可以把every换成last，避免同一源-目标组合下重复扫描带来的重复告警：

  partition by Source_IP4, Target_IP4
  from last e1=Events(type='Scan') -> e2=Events(type='attack') within 10 minutes
  select ... insert into Alert;
  

• 针对企业设备多、事件量大的情况，可以给Source_IP4和Target_IP4字段添加索引，提升分区和事件匹配的性能：

  create index event_src_dst_idx on Events(Source_IP4, Target_IP4);
  

• 直接在Events的过滤条件里指定类型（比如Events(type='Scan')），比在having里判断更高效，引擎会提前过滤掉不符合条件的事件，减少后续处理压力。

内容的提问来源于stack exchange，提问作者Peter Rubi