按三个维度盘点痕迹
痕迹地图把可用证据面按维度列清楚，避免「只盯着日志」这种单层取证。主机层包含进程、文件元数据、日志、计划任务与注册表；网络层包含会话元数据、DNS 解析、代理与流量日志；账号层包含认证、授权与审计记录。排查时三层并行推进，任何一层给出的线索都能到另外两层去印证——三层互证的结论，比单层证据稳固得多。
痕迹地图
| 层 | 典型痕迹 | 获取方式 |
|---|---|---|
| 主机 | 进程、文件元数据、计划任务、日志 | 系统工具与内存/磁盘采样 |
| 网络 | 会话元数据、DNS 解析、代理日志 | 设备日志、NetFlow、抓包 |
| 账号 | 登录、提权、账号与组成员变更 | 认证日志与安全审计日志 |
基本信息
| 用途 | 系统性盘点可用证据面，避免遗漏整层 |
|---|---|
| 维度 | 主机 / 网络 / 账号，三层并行 |
| 输出 | 每层可用的痕迹点与获取方式清单 |
| 使用节奏 | 发现线索后到另外两层找印证，再决定是否采信 |
| 与日志盘点区别 | 痕迹地图是面（有哪些类型），日志盘点是点（具体在哪、留多久） |
| 归档要求 | 每层采集都要记录时间、方法与校验值 |
典型使用场景
- 排查开始时确认三类证据是否都拿得到，避免中途才发现缺层
- 某条线索只有单层支撑时，主动去另外两层找印证
- 多条线索指向同一结论时，按层标注证据强度
- 为报告组织证据章节：按层呈现每类证据的可得性
- 评估采集遗漏：哪一层的证据没有采，影响什么判断
- 复盘时定位分析盲区，改进下一次的采集清单
三层对照清单
三层对照清单
主机层：进程与连接快照、文件元数据、系统与应用日志、计划任务
网络层：NetFlow/IPFIX、DNS 解析记录、代理与网关日志、必要时抓包
账号层：认证日志、审计日志、账号与组成员变更记录
# 每条线索追问：另外两层里有没有对应痕迹？
# 例：主机出现外联进程 -> 网络层找同刻会话 -> 账号层确认发起账号三层互证的结论比单层证据稳固得多。只有主机层进程记录、网络侧查不到对应会话时，需要解释是采集点覆盖不足还是记录本身可疑，而不是直接采信。
账号层的变更记录常被忽略，但它恰恰能定位提权与持久化：新增账号、加入管理组、授予特权的时间点，往往与入侵动作一一对应。