把疑点拆成五个要素
面对「服务器疑似被入侵」这类模糊疑点，有效的方法是把它展开成五个可验证的问题：谁（账号或进程）、何时、何地（主机与网络位置）、做了什么、怎么做到（工具与路径）。每一项都要有对应的证据来源，缺哪一项就去补哪一层的证据。这样做的好处是把开放式的猜测转成一组闭合的检查项，进度与缺口一目了然，报告也能按同一结构组织。
基本信息
| 用途 | 把模糊疑点拆成可验证的清单 |
|---|---|
| 五要素 | 主体、时间、位置、动作、手法 |
| 对应证据 | 账号与进程记录、日志时间戳、主机与网络日志、文件与配置变更、漏洞与凭据线索 |
| 使用方式 | 逐项填写，缺口处标注「待补证据」 |
| 输出 | 问题清单 + 证据映射表 |
| 适用范围 | 主机入侵、账号异常、数据外带等各类事件的初筛 |
典型使用场景
- 事件初筛阶段把模糊描述转成明确问题列表
- 分配任务：每个要素对应一组证据与责任人
- 检查完备性：五个要素中哪一个还缺证据支撑
- 与时间线互相校验：要素答案之间是否自洽
- 为报告组织章节：按五要素呈现发现与依据
- 与业务方沟通时提供统一的提问框架
示例展开
示例展开
疑点：服务器疑似被入侵
谁：哪个账号或进程发起了动作（ops? www-data? 未知进程?）
何时：首次异常时间与持续区间（含时区）
何地：入口主机、受影响主机、外联目标
做了什么：落地文件、账号变更、配置修改、数据访问
怎么做到：利用的漏洞、弱口令、窃取的凭据或密钥
# 逐项填证据；填不上的写「待补证据」并注明去哪一层找要素与证据映射
| 要素 | 要回答的问题 | 证据来源 |
|---|---|---|
| 谁 | 账号、进程与父子关系 | 认证日志、进程快照、审计记录 |
| 何时 | 首次与持续的时间区间 | 多源日志时间戳（统一基准后） |
| 何地 | 入口、受影响主机、外联目标 | 网络元数据、登录来源、暴露面清单 |
| 做了什么 | 文件、账号、配置、数据的变更 | 文件元数据、账号清单、计划任务 |
| 怎么做到 | 初始访问手法与扩散路径 | 漏洞窗口、凭据使用记录、横向通道痕迹 |
五要素清单化后逐项填证据，缺口一目了然。填不上来的项目本身就是结论的一部分：说明该维度证据不足，需要在报告中如实标注。
要素之间要用证据互证，避免单点推断直接进报告。例如「谁」的答案既能由账号记录回答，也应与进程记录一致。