取证与溯源速查
日志与流量溯源、时间线还原、Windows/Linux 取证要点、证据固定与报告：安全事件追溯与取证速查。
溯源思路与流程
从告警到处置闭环的溯源路径
告警到溯源的处置顺序
先确认告警真伪，再圈范围、定时间线、找入口与扩散，最后固证与报告：顺序稳定才能避免"跳步取证"造成证据缺口。
先圈定范围再深挖细节
先回答"哪些资产、哪个时间段、哪些账号"三个范围问题：范围定了，深挖才有边界，取证与报告也能按同一口径组织。
时间线还原方法
把多源事件按统一时区排序成一条时间线：登录、进程创建、网络外联、文件落地、账号变更——事件顺序给出因果链。
痕迹地图：主机/网络/账号
按维度整理可用的痕迹面：主机层（日志、进程、文件、注册表）、网络层（会话、DNS、代理）、账号层（认证、授权、审计）。
日志源盘点清单
开工先列出"有哪些日志、在哪里、留多久"：主机日志、应用日志、网络设备、安全设备、云平台与 SaaS 审计，逐项确认可查性。
枢轴（Pivot）扩展技巧
从一个已确认的 IOC 出发：同一 IP/域名/账号/文件哈希再去各日志源搜，命中即扩展图；每次扩展记录方向与依据。
IOC 与 TTP 的分层使用
IOC（IP/域名/哈希）易变、适合即刻检索；TTP（手法与行为模式）稳定、适合长期狩猎与规则沉淀：两层配合。
入口点定位思路
从最早异常向前找入口：外网入口看暴露面（Web/VPN/邮件），内网扩散看首个异常主机；入口候选按"时间最早+证据最强"排序验证。
横向移动痕迹梳理
横向常用远程执行与远程登录通道：认证日志（来源主机）、服务创建记录、管理共享访问、RDP/SSH 会话——按通道找痕迹。
易失性数据收集顺序
按易失程度从高到低：CPU 寄存器/缓存→内存→网络连接→运行进程→磁盘→备份/归档；条件允许时按此顺序并行采集。
五要素提问法
把疑点按五要素展开：谁（账号/进程）、何时、何地（主机/网络）、做了什么、怎么做到（工具/路径），缺哪个要素就补哪个证据。
假设-验证循环
对每个疑点先写出可证伪的假设，再去指定日志/痕迹验证：验证结果无论正否都记录，逐步收敛到结论。
Kill Chain 阶段映射
把已发现的痕迹映射到链条阶段（侦察→武器化→投递→利用→安装→控制→行动）：认清"攻击者已推进到哪一步"。
ATT&CK 战术映射
用 ATT&CK 战术维度整理痕迹：初始访问、执行、持久化、提权、防御规避、凭据访问、发现、横向、收集、外传——逐格找证据。
持久化点的排查思路
持久化=重启后仍生效的机制：计划任务/服务/启动项/驱动/账号/密钥：在受影响主机与扩散主机上逐一核对新增与变更。
账号滥用溯源要点
账号层证据最可行动：登录时间/来源/方式（密码/密钥/令牌）、权限变更、凭据使用分布——异常模式往往直接指向滥用。
数据收集与打包痕迹
外传前常有收集与打包动作：压缩工具进程、临时目录大文件、批量读取记录——这些痕迹比外传本身更早出现。
外传路径分析思路
按通道逐一验证：直连外网、代理、DNS、云存储、邮件、即时通讯；结合会话日志与时序，确认"送出量级"与"去向"。
清理痕迹的识别
攻击者清理会留下"清理动作本身的痕迹"：日志缺口、文件删除记录、历史命令清空——反查清理行为常能定位最后活动时间。
影响面界定与证据支持
影响面结论要有逐项证据：受影响资产列表、数据访问范围、账号凭据暴露面；无证据的"可能受影响"单列待查项。
证据链构建原则
每个结论都指向证据，每份证据都记录来源、时间、获取方式与存放位置：链条完整时，结论可独立复核。
活体取证与静态分析取舍
系统仍运行时优先采集易失数据（内存、连接、进程）；已关机或可停机时做磁盘镜像：取舍取决于风险与时效。
隔离时机的把握
是否立即断网取决于证据保全与扩散风险的权衡：高风险扩散优先隔离，证据采集优先则先采集再隔离，决策与依据要记录。
多源关联的三条线
时间线、账号线、网络线三条关联线同时推进：任两条交叉即形成较硬的结论，单线结论只作待核。
时间基准统一
所有分析统一到同一时区（建议 UTC）与同一显示格式：报告里的时间必须能逐条映射回原始日志，转换过程留可复核说明。
时钟偏移的处理
设备时钟漂移会让跨源时间线失真：先用已知同步事件（如 NTP 日志）估计偏移，再决定校正还是仅标注误差范围。
疑点排序原则
线索按"证据强度×影响面×新鲜度"排序：先处理近期、高影响、证据硬的疑点；弱线索批量并行验证。
取证授权边界
取证触及通信内容与个人数据：在授权范围（系统、时间窗、目的）内操作，超出范围的发现先上报再行动，全程留痕。
边查边记的工作方式
每做一步就留下记录：命令、时间、输出摘要、结论与下一步；事后补记会失真，交接与报告都依赖过程记录。
基线对比找异常
没有明确告警时用基线法：正常周期（同用户/同主机/同时段）的行为画像，显著偏离即为候选异常点。
日志溯源
系统、应用与安全设备日志关联
Windows 登录事件 ID 速查
关键事件 ID：4624 登录成功、4625 失败、4648 显式凭据、4672 特权分配、4720 账号创建、4732 组变更——按 ID 过滤登录面。
访问日志攻击特征判读
扫描与利用在访问日志有形态：4xx 密集、异常路径（历史组件路径/穿越序列）、异常 UA、参数含拼接符号——先模式后个案。
Windows 登录类型（Logon Type）对照
4624/4625 事件里的 Logon Type 指明登录渠道：2 交互、3 网络、10 远程桌面、5 服务：判断登录是否来自 RDP 或网络共享靠它。
Linux 认证日志速查
认证与 sudo 记录集中在 /var/log/auth.log（Debian 系）或 /var/log/secure（RHEL 系）：登录成败、来源、执行命令的关键字段都在这里。
Web 日志路径与字段
常见位置：Nginx /var/log/nginx/access.log、Apache /var/log/httpd/ 或 /var/log/apache2/；先确认 log_format，再解析字段。
反向代理日志关联
代理日志记录真实客户端 IP（XFF/真实 IP 字段）与后端状态：定位客户端行为用代理日志，定位应用行为用上游日志，两侧按请求 ID 关联。
SSH 爆破与得手的判读
爆破形态：来源 IP 短时大量 4625/failed；得手信号：同源 IP 出现 Accepted 或后续会话行为；两者按时间窗配对确认。
journald 查询方法
systemd 环境用 journalctl 按服务/时间/优先级检索：-u 服务、--since/--until 时间窗、-p 级别、-g 关键词（新版本）。
WAF 日志判读要点
WAF 日志含命中规则、动作（拦截/放行/挑战）与请求上下文：放行动作下的可疑请求要单独梳理，拦截高峰对应攻击波次。
云审计日志溯源（AWS CloudTrail）
CloudTrail 记录账号下的 API 调用：以 AccessKey 或事件名检索，回填调用者、来源 IP 与被操资源，定位云上异常操作。
云操作审计检索（阿里云 ActionTrail）
操作审计把云 API 调用集中可查：按事件名、调用者或资源检索，定位谁在何时改了安全组、RAM 或对象存储权限。
邮件网关日志追溯
Postfix 以 queue id 串联一次投递的收件、退信与转发过程：拿到可疑邮件头里的 ID 即可还原完整路径。
SIEM 检索策略：先精后粗
SIEM 查询先做 IOC 精确命中（哈希、域名、IP），再做行为特征（进程链、异常父进程），两轮互补降低遗漏。
用 trace/request id 串联跨服务日志
分布式系统里同一请求带相同的 trace id：从入口日志的 ID 出发，可把网关、应用、下游依赖的日志串成一条链。
Kubernetes 审计日志判读
K8s 审计日志记录对 API Server 的每个请求：看 user.username、verb 与 resource 就能识别越权尝试与异常操作源。
对象存储访问日志核查
对象存储访问日志记录每个 GET/PUT 的对象与被访问方：批量下载、异常来源 IP 是数据外带调查的关键证据。
负载均衡访问日志字段解读
LB 访问日志（如 ALB）给出客户端、目标后端、状态码与字节数：用于定位请求被哪层拒绝以及后端响应异常。
auditd 进程执行记录查证
auditd 的 EXECVE 记录保留进程执行的参数序列，是 Linux 上回答"谁执行了什么命令"的直接证据。
Kerberos 票据事件异常判读
4768/4769 记录票据签发与请求：大量 SPN 请求且加密类型退化（RC4）常指向 Kerberoasting 类行为。
数据库审计日志要点
审计开启时记录登录、DDL/DML 与高权限操作：关注新增账号、权限授予、批量导出语句、非业务时段变更。
sudo 使用记录判读
sudo 记录执行者、目标用户与命令：关注服务账号执行交互命令、运维账号执行非常规命令、连续提权尝试失败。
计划任务执行日志
cron 执行集中在 /var/log/cron（RHEL）或 syslog/journal 中：任务定义与执行记录对照，重点看新增任务与失败反复的任务。
内核日志（dmesg）痕迹
内核环形缓冲记录硬件、驱动、OOM、挂载等事件：挂载外部设备、文件系统错误、异常卸载都可能与入侵动作相关。
防火墙日志判读
边界与主机防火墙日志给出"被拦截的连接"：拒绝风暴常是扫描，放行后的会话才是关注点；结合规则命中计数看策略变化。
IDS/IPS 告警日志关联
以 IDS 告警为线索，回填五元组与签名，再与防火墙、主机日志互证：单条告警不足以下结论，交叉印证才有证据力。
正向代理日志分析
Squid 访问日志按请求逐条记录客户端、目标与结果码：用于还原内网主机的外联行为与下载动作。
DNS 查询日志溯源
DNS 查询日志回答哪台主机在何时解析了哪个域名：解析恶意域名的主机就是下一批排查对象。
VPN 接入日志核查
VPN 日志给出账号、来源 IP、分配地址与在线时段：异地接入、非工作时段与短时串接常是溯源重点。
堡垒机会话日志利用
堡垒机留存会话索引与命令记录：将账号、资产、时段与命令串起来，能把"谁在什么机器上做了什么"说清楚。
CDN 日志判读要点
CDN 日志是离攻击者最近的一手记录：客户端 IP、请求行、状态码与回源标记，用于攻击源与回源影响核对。
计划任务创建事件（4698）
4698 记录任务创建及其动作内容：可疑任务会写明要执行的命令与触发频率，是持久化排查的重点事件。
服务安装日志（7045）判读
系统日志 7045 记录新服务安装：服务名、映像路径与启动类型一览，异常服务是主机持久化的典型痕迹。
日志转发链完整性核查
集中化日志的前提是链路可靠：转发协议、队列与磁盘缓冲决定断链窗口，取证时要先确认"日志没有缺"。
JSON 行日志结构化解析
现代应用多以 JSON Lines 输出：先用结构化工具解析字段，再按时间与主体聚合，能大幅减少人工翻找。
User-Agent 线索利用
UA 串能区分自动化工具与浏览器：扫描器、脚本库的 UA 特征稳定，可作为归并与去噪的辅助维度。
流量与样本溯源
外联分析、样本处置与威胁情报
NetFlow/IPFIX 元数据溯源
不是所有环境都留全流量：NetFlow/IPFIX 元数据保留五元组、字节数与时间，足够做外联筛查与体量评估。
Zeek 日志体系速查
Zeek 把流量整理成 conn/dns/http/ssl/files 等结构化日志：按协议日志各查一层，交叉字段是 uid 与五元组。
PCAP 证据的哈希与来源登记
流量证据入卷三要素：哈希、采集点与时间窗：没有来源登记的 pcap 在后续环节没有证据力。
会话流重组导出
分析前先把单条会话的字节流重组出来：流级别看语义（请求响应、命令回显）比逐个包看高效。
DNS 隧道流量特征
DNS 隧道把数据塞进查询名：超长子域、高频 TXT/NULL 记录与固定编码前缀是常见可观察特征。
加密 DNS（DoH/DoT）侦测思路
DoH/DoT 把查询藏进 HTTPS/TLS：在流量侧观察目的端口 443/853 上的长连接与已知 DoH 服务商 IP 是现实做法。
周期性外联（Beacon）识别
恶意程序常按固定间隔心跳：把同一目的地的连接间隔做统计，稳定的均值与低抖动是重要线索。
TLS 证书与 SNI 线索
握手里的 SNI 与服务器证书给出访问目标线索：自签证书、异常签发者与短期证书在恶意基础设施中常见。
HTTP 对象导出与哈希
从流量中把传输的文件对象导出来：对导出对象计算哈希，与终端落盘文件、情报库双向比对，形成传输证据。
SMB 横向移动流量线索
横向阶段常见管理共享与远程服务调用：会话建立、树连接与文件写入的组合是关注点。
外带数据体量估算
回答"可能带走了多少"：按会话发送字节统计外联排名，剔除备份、更新等已知任务再取离群项。
隧道协议识别要点
非标准隧道常借常见端口：协议特征与端口的错配（如 443 端口跑非 TLS）是重要观察点。
从 PCAP 提取文件对象
流量里传过的可执行文件、文档与脚本都是证据：按对象导出并用哈希与端点落盘文件互证。
PE 头部与导入表解读
PE 头给出编译时间、区段与导入函数：导入表里的网络、进程、加密 API 组合能勾勒样本能力面。
沙箱报告阅读要点
读沙箱报告先看行为摘要与网络请求两节：落地文件、进程树、注册表改动、外联目标按证据价值排序提取。
IOC 规范化与管理
IOC 要有类型、上下文与有效期：域名、IP、哈希分开管理，标注来源与置信度，避免用"过期的"/"低质"清单打猎。
YARA 规则匹配思路
YARA 用字符串与字节特征标识样本族：写规则时优先选样本中稳定、罕见的特征，避免常见库字符串。
Sigma 规则转查询实践
Sigma 用统一 YAML 描述检测意图：在 SIEM 里可转成各平台查询，把样本分析结论快速铺开到历史日志里回溯。
威胁情报比对方法
拿哈希、域名、IP 分别比对情报源：命中看首次出现时间与标签，未命中也要记录（自建基础设施常见未收录）。
邮件头 Received 链分析
邮件头自下而上是投递路径：逐跳核对 Received、SPF/DKIM 认证结果与发信时间，判断伪造与真实来源。
样本归因的表述纪律
归因结论写"与某家族特征一致性高"而非"就是某组织"：保留证据链与不确定性表述，报告才站得住。
JARM 指纹比对
JARM 对 TLS 服务端做主动探测生成短指纹：用于比对可疑服务端与其他已知样本是否同源。
JA3/JA4 客户端指纹应用
JA3/JA4 由 TLS Client Hello 生成：同一工具在不同 IP 上复用相同指纹，可用于把散落连接归并到一类客户端。
扫描流量特征识别
扫描表现为短连接、多端口、单包试探：按源 IP 聚合目的端口数与连接时长可快速定位扫描源。
IP 归属与 ASN 核查
对目的 IP 做归属核查：ASN、注册机构与地理信息用于判断"这流量像不像该去的地方"。
样本哈希计算与记录
样本进出每一步都算哈希：接样时算、传输后复算、入库存档再复算，任一环节不一致即停下排查。
样本初筛（Triage）流程
不急着进沙箱：先用文件类型、头部信息与字符串做一轮低风险初筛，决定分析路径并记录第一手特征。
strings 提取 IOC 的注意点
字符串里能捡到 URL、IP、互斥体与路径：提取后要按类型规范化并标注样本出处，防止 IOC 张冠李戴。
附件类型鉴定与哈希
附件先判真实类型再看哈希：扩展名与文件头不一致（如 .doc 实为 PE 或压缩包）就是危险信号。
脚本样本分析线索
脚本类样本易读：先看编码方式（-enc、base64、字符串拼接数组），再按解码链还原并逐段标注意图。
Windows 取证
事件日志、注册表与使用痕迹
登录成功事件（4624）字段解读
4624 的要点字段：目标账号、登录类型、来源 IP、进程：判断交互式还是远程、来自哪台机器靠这几个字段。
安全日志关键事件速览
Windows 安全日志事件号是取证索引：登录、进程、账号、计划任务、服务各有对应号段，先记常用集合再按需扩展。
PowerShell 脚本块日志（4104）
4104 记录实际执行的脚本块内容：即使脚本不落盘，经此也能还原执行代码，是无文件攻击取证的关键来源。
PowerShell 控制台历史
PSReadLine 把交互命令写入历史文件：能还原操作者在控制台敲过的命令序列，含时间辅助列。
Windows 痕迹工具链速览
取证工具按证据源分工：EvtxECmd 解析事件、MFTECmd 解析文件系统、JLECmd 等解析用户痕迹：组合成时间线再用。
进程创建事件（4688）取证用法
4688 提供新进程与其父进程：开启命令行记录后，能直接回答"是谁拉起了什么命令"。
Sysmon 进程创建（事件 1）
Sysmon 事件 1 含完整命令行、父进程、哈希与完整性级别：是主机执行痕迹中最细的一层记录。
Sysmon 网络连接（事件 3）
事件 3 把进程与出站连接绑定：回答"哪个程序连了哪个地址"，是外联溯源的端点侧锚点。
Sysmon 文件创建（事件 11）
事件 11 记录文件落下：落地目录（临时、启动、下载）与文件哈希是判断行为性质的重要上下文。
Sysmon 注册表修改（事件 13）
事件 13 记录注册表值写入：自启动、服务、映像劫持等持久化动作都会在此留痕。
Prefetch 痕迹解析
Prefetch 记录程序执行与加载的文件引用：常驻目录 C:/Windows/Prefetch，按执行时间排序可补全执行史。
ShimCache（AppCompatCache）解读
ShimCache 是兼容性缓存，记录执行过的程序路径与时间戳：对无 Prefetch 的系统价值更高。
UserAssist 程序使用痕迹
UserAssist 记录用户通过资源管理器启动的程序与运行次数，值名经 ROT13 编码，位于用户配置单元。
LNK 快捷方式文件分析
LNK 文件携带目标路径、卷序列号、MAC 时间等多层信息：常出现在 Recent 与临时目录，是文件访问的关键痕迹。
USN Journal 变更记录
USN 记录卷内文件增删改名的时间序列：短时间内大量重命名、创建、删除是勒索与整理外带痕迹的典型形态。
$MFT 主文件表解析
MFT 记录卷内每个文件的元数据：时间戳、大小、父目录与是否驻留，是补全已删除文件线索的基础。
WMI 事件订阅持久化核查
WMI 事件订阅能在特定条件下自动执行命令：查 __EventFilter、__EventConsumer、__FilterToConsumerBinding 三类对象。
计划任务文件与事件联合核查
任务不只在日志里：C:/Windows/System32/Tasks 下的 XML 与事件 4698/4699/4702 对应，联合看更稳。
RDP 使用痕迹收集
RDP 痕迹散布多处：安全日志登录类型 10、TerminalServices 事件、Default.rdp 与 RDPCache 位图缓存。
Zone.Identifier 下载来源标记
从网络保存的文件常带 Zone.Identifier 标记：记录来源域与引用页，是"文件从哪来"的直接证据。
账号管理事件（4720 系列）
账号生命周期事件齐全：4720 创建、4722 启用、4724 改密、4726 删除、4732 加组，后门账号从创建到提权可逐条还原。
Defender 检测与处置日志
Defender 的事件（1116/1117 检测与处置、1006 扫描）给出检测名称、路径与处置动作，是主机侧防护的完整流水。
DNS 缓存与解析记录核查
解析缓存反映近期访问的域名（含过期条目）：在端点侧补充"访问过哪些域名"的直证，输出为文本留档。
可移动介质使用痕迹
U 盘接入痕迹散布在注册表与日志：USBSTOR 键、setupapi 日志与卷挂载记录共同还原介质插拔史。
浏览器历史取证要点
浏览器历史存放在 SQLite 库：v 访问记录、下载表、Cookies 时间戳格式各异，复制主库时连带 journal 文件。
Windows 错误报告（WER）痕迹
WER 在程序崩溃时留存报告：可发现异常程序崩溃、被结束进程等事件，目录名含时间与进程信息。
安装痕迹与 MSI 日志
程序安装留两处痕：注册表 Uninstall 键与 MSI 日志：判断"何时装了带安全软件"的常见路径。
NTFS 时间戳语义与篡改识别
NTFS 文件有多组时间：$STANDARD_INFORMATION 与 $FILE_NAME，后者更新较难：两者失衡可提示时间戳篡改。
特权登录事件（4672）说明
4672 在管理员级登录时记录分配的特权列表：与 4624 成对出现，用于确认该会话是否拥有高权限。
Amcache 使用痕迹
Amcache 存储本机出现过的可执行文件与安装信息：文件首次出现时间与 SHA1 常被用作横向比对线索。
跳转列表（Jump Lists）分析
跳转列表保留应用最近打开的文件与固定项：路径与时间信息能证明"该用户打开过该文件"。
Shellbags 目录浏览痕迹
Shellbags 记录用户浏览过的文件夹及其视图设置：能证明对目录的访问，即使目录已删除或设备已移除。
SRUM 资源使用记录
SRUM 记录进程的网络流量与资源消耗：能回答"这个程序在哪个时段用了多少流量"，补足外带体量估算。
卷影副本（VSS）利用
卷影副本保存卷的历史快照：可回溯被删除或加密前的文件状态，是勒索与误删场景的重要证据源。
注册表配置单元离线加载
离线分析先加载配置单元：reg load 把 hive 挂到分析机的临时键，只读即可避免污染原始证据。
自启动注册表键核查
Run/RunOnce 系列键是经典自启动点：键值指向的路径、写入时间与登录后进程启动要串起来看。
持久化点清单化排查
按清单逐项核对比漫游文件系统可靠：注册表自启动、服务、任务、WMI、启动目录、登录脚本逐个过。
BITS 任务痕迹核查
BITS 用于后台传输，常被滥用做下载：任务记录在 bitsadmin 与事件日志中，带源 URL 与本地路径。
回收站痕迹解析
回收站有两套记录：$R 是文件内容，$I 记录原路径与删除时间：恢复与证否删除行为都靠它们。
Windows 防火墙日志
防火墙日志可选开启：记录允许与拦截的连接（含 PID），与被控主机的出站行为互证。
活动连接与进程映射
netstat 的 -b/-o 把连接映射到 PID：对嫌疑主机做一次现场连接快照，先固定再看进程与文件。
命令提示符历史与运行痕迹
老版本 cmd 无内建历史，但 RunMRU 记录"运行"对话框输入：快速还原被执行的单行命令与路径。