| 用途 | 系统性盘点可用证据面 |
|---|---|
| 维度 | 主机/网络/账号 三层并行 |
痕迹地图
| 层 | 典型痕迹 | 获取方式 |
|---|---|---|
| 主机 | 进程/文件时间/计划任务 | 系统工具+采样 |
| 网络 | 会话/解析/代理日志 | 设备日志/流量 |
| 账号 | 登录/提权/变更 | 认证与审计日志 |
三层互证的结论比单层证据稳固得多。
本包目录（137 条）
溯源思路与流程30 条
- 告警到溯源的处置顺序
- 先圈定范围再深挖细节
- 时间线还原方法
- 痕迹地图：主机/网络/账号
- 日志源盘点清单
- 枢轴（Pivot）扩展技巧
- IOC 与 TTP 的分层使用
- 入口点定位思路
- 横向移动痕迹梳理
- 易失性数据收集顺序
- 五要素提问法
- 假设-验证循环
- Kill Chain 阶段映射
- ATT&CK 战术映射
- 持久化点的排查思路
- 账号滥用溯源要点
- 数据收集与打包痕迹
- 外传路径分析思路
- 清理痕迹的识别
- 影响面界定与证据支持
- 证据链构建原则
- 活体取证与静态分析取舍
- 隔离时机的把握
- 多源关联的三条线
- 时间基准统一
- 时钟偏移的处理
- 疑点排序原则
- 取证授权边界
- 边查边记的工作方式
- 基线对比找异常
痕迹地图：主机/网络/账号
按维度整理可用的痕迹面：主机层（日志、进程、文件、注册表）、网络层（会话、DNS、代理）、账号层（认证、授权、审计）。
易错点
- 只盯主机层会漏掉网络侧的外联与横向证据
- 账号层的变更记录常被忽略，恰恰能定位提权与持久化
数据来源与参考
- DFIR 痕迹分类实践