| 用途 | 把清理行为当线索 |
|---|---|
| 痕迹 | 日志缺口/删除记录/历史清空 |
观察线索
观察线索
日志文件时间跨度不连续
histentry_start 记录与实际文件不符
删除操作审计记录
# 清理痕迹本身即行为证据清理后仍可能存在集中转发/副本，向集中平台求证。
攻击者清理会留下"清理动作本身的痕迹"：日志缺口、文件删除记录、历史命令清空——反查清理行为常能定位最后活动时间。
| 用途 | 把清理行为当线索 |
|---|---|
| 痕迹 | 日志缺口/删除记录/历史清空 |
日志文件时间跨度不连续
histentry_start 记录与实际文件不符
删除操作审计记录
# 清理痕迹本身即行为证据