Entry № 811
网络取证
网络取证 是什么?
网络取证对网络流量与元数据进行采集、记录和分析,用于调查安全事件并重建攻击者行为。
网络取证基于报文捕获(PCAP)、NetFlow/IPFIX、DNS、代理、防火墙与 IDS 日志,识别入侵路径、外传通道、C2 与横向移动。方式从 "全包捕获" 到 "在关键节点定向抓包"。常用工具:Wireshark、Zeek、Suricata、tcpdump、Arkime/Moloch 以及商用 NDR 平台。分析人员将流量与端点、SIEM 数据关联,解析 HTTP、TLS 元数据、DNS、SMB 等协议,并通过 JA3/JA4 指纹甄别异常客户端。由于流量易逝,保留策略、安全存储以及从传感器开始的证据链是 ISO/IEC 27037 下可采纳性的关键。
● 示例
- 01
利用 Zeek 的 conn.log 与 PCAP 片段重建攻击者的 HTTP C2 会话。
- 02
通过分析 NetFlow 中 DNS 查询长度分布发现 DNS 隧道外传。
● 常见问题
网络取证 是什么?
对网络流量与元数据进行采集、记录和分析,用于调查安全事件并重建攻击者行为。 它属于网络安全的 取证与应急响应 分类。
网络取证 是什么意思?
对网络流量与元数据进行采集、记录和分析,用于调查安全事件并重建攻击者行为。
如何防御 网络取证?
针对 网络取证 的防御通常结合技术控制与运营实践,详见上方完整定义。
网络取证 还有哪些其他名称?
常见的别称包括: NetFor, 流量取证。