外传路径分析思路是什么
按通道逐一验证数据的流出路径：直连外网、企业代理、DNS、云盘与对象存储、邮件、即时通讯。目标是回答三件事：送出了什么、送到哪里、大约多少字节。加密通道下通常只能依赖元数据，所以每条结论都要标注确定性等级，不能一句「已被外传」了事。
基本信息
| 用途 | 锁定数据流出路径与去向 |
|---|---|
| 常见通道 | 直连、代理、DNS、云存储、邮件、IM |
| 判断依据 | 会话记录、目的域名或 IP、字节量级、时序 |
| 输出 | 通道—时间—字节量级—去向 四列表 |
典型使用场景
- 判断数据是否真的离开内网，决定是否启动对外通报流程
- 出口只看到可疑会话时，回溯目的域名归属与业务合理性
- DNS 出现超长随机子域，怀疑走 DNS 隧道外传
- 云盘或对象存储上传记录：核对谁传的、传了什么、传了多少
- 邮件网关外发记录：确认是否有内部人员网外发附件
分析顺序
分析顺序
1) 主机侧：ss/netstat 看到的对外连接与对应进程（连接仍存在时）
2) 出口侧：防火墙与代理会话日志，取目的 IP、端口、字节数
3) 名称侧：DNS 查询日志，找非常规域名与超长标签
4) 量级对照：归档体积 ≈ 同期单次外传字节数，作为成立依据
5) 归因：目的 IP 归属地、域名注册信息、云服务归属主体
# 每条结论标注确定性：直接证据 / 逻辑推断 / 不可判定通道与证据来源
| 通道 | 证据来源 | 局限 |
|---|---|---|
| 直连外网 | 防火墙会话、NetFlow、主机 ss | 经 NAT 后来源识别困难 |
| 企业代理 | 代理访问日志（含 URL 与字节数） | HTTPS 通常只见域名与流量 |
| DNS | DNS 查询与响应日志 | 启用加密 DNS 后可见性下降 |
| 云盘与对象存储 | 服务端访问日志、客户端审计 | 需向第三方调取记录 |
| 邮件与 IM | 邮件网关、协作平台日志 | 内容加密，只能靠元数据 |
量级对照是「外传成立」的强证据：归档体积与同一时段单次外传字节数接近、时间紧邻、目的地址与主机无业务关系，三条同时满足时结论就比较扎实。
合法同步工具（备份客户端、网盘、代码仓库、日志上报）必须纳入对照表，否则很容易把业务流量写成泄露，损害报告可信度。