fix: critical Keep-Alive correlation bug - network events evicted prematurely

- Fix cleanExpired() to use TTL map instead of event timestamp for B events
- Increase default correlation time window from 1s to 10s
- Increase default network TTL from 30s to 120s for long sessions
- Use payload timestamp for network events when available (fallback to now)
- Add comprehensive Keep-Alive tests (TTL reset, long session scenarios)
- Bump version to 1.1.7

Co-authored-by: Qwen-Coder <qwen-coder@alibabacloud.com>

architecture.yml

@@ -175,8 +175,9 @@ config:
     correlation:
       # Fenêtre de corrélation : si le log HTTP arrive avant le réseau, il attend
       # au plus cette durée (sauf éviction du cache HTTP).
+      # Augmentée à 10s pour supporter le Keep-Alive HTTP.
       time_window:
-        value: 1
+        value: 10
         unit: s
 
       orphan_policy:
@@ -192,9 +193,10 @@ config:
         max_network_items: 20000
 
       ttl:
-        # Durée de vie standard d’un log réseau (B) en mémoire. Chaque corrélation
+        # Durée de vie standard d'un log réseau (B) en mémoire. Chaque corrélation
         # réussie avec un A réinitialise ce TTL.
-        network_ttl_s: 30
+        # Augmenté à 120s pour supporter les sessions HTTP Keep-Alive longues.
+        network_ttl_s: 120
 
 inputs:
   description: >
@@ -267,16 +269,16 @@ outputs:
 correlation:
   description: >
     Corrélation stricte basée sur src_ip + src_port et une fenêtre temporelle
-    configurable. Aucun autre champ n’est utilisé pour la décision de corrélation.
+    configurable. Aucun autre champ n'est utilisé pour la décision de corrélation.
   key:
     - src_ip
     - src_port
   time_window:
-    value: 1
+    value: 10
     unit: s
     description: >
-      Fenêtre de temps appliquée aux timestamps de A et B. Si B n’arrive pas dans
-      ce délai, A est émis comme orphelin.
+      Fenêtre de temps appliquée aux timestamps de A et B. Si B n'arrive pas dans
+      ce délai, A est émis comme orphelin. Augmentée à 10s pour le Keep-Alive.
   retention_limits:
     max_http_items: 10000
     max_network_items: 20000
@@ -285,10 +287,10 @@ correlation:
       évincé et émis orphelin. Si max_network_items est atteint, le plus ancien B
       est supprimé silencieusement.
   ttl_management:
-    network_ttl_s: 30
+    network_ttl_s: 120
     description: >
-      TTL des logs réseau. Chaque fois qu’un B est corrélé à un A (Keep‑Alive),
-      son TTL est remis à cette valeur.
+      TTL des logs réseau. Chaque fois qu'un B est corrélé à un A (Keep-Alive),
+      son TTL est remis à cette valeur. Augmenté à 120s pour les sessions longues.
   timestamp_source:
     apache: field_timestamp
     network: reception_time