溯源思路与流程68 条

横向移动痕迹梳理

横向常用远程执行与远程登录通道：认证日志（来源主机）、服务创建记录、管理共享访问、RDP/SSH 会话——按通道找痕迹。

用途	还原扩散路径
通道	SMB/WinRM/RDP/SSH/计划任务

痕迹对照

SMB: 文件访问与登录类型3
WinRM: 服务端事件与进程谱系
RDP: 登录类型10
SSH: auth 日志会话
计划任务: 任务创建与执行记录

扩散图按时间排序后，与账号使用记录交叉验证。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌