CyberGlossary

取证与应急响应

网络取证

别称: NetFor, 流量取证

定义

对网络流量与元数据进行采集、记录和分析,用于调查安全事件并重建攻击者行为。

网络取证基于报文捕获(PCAP)、NetFlow/IPFIX、DNS、代理、防火墙与 IDS 日志,识别入侵路径、外传通道、C2 与横向移动。方式从 "全包捕获" 到 "在关键节点定向抓包"。常用工具:Wireshark、Zeek、Suricata、tcpdump、Arkime/Moloch 以及商用 NDR 平台。分析人员将流量与端点、SIEM 数据关联,解析 HTTP、TLS 元数据、DNS、SMB 等协议,并通过 JA3/JA4 指纹甄别异常客户端。由于流量易逝,保留策略、安全存储以及从传感器开始的证据链是 ISO/IEC 27037 下可采纳性的关键。

示例

  • 利用 Zeek 的 conn.log 与 PCAP 片段重建攻击者的 HTTP C2 会话。
  • 通过分析 NetFlow 中 DNS 查询长度分布发现 DNS 隧道外传。

相关术语