| 用途 | 外联目标合理性评估 |
|---|---|
| 维度 | ASN / 注册地 / 机房与云段 / 历史信誉 |
查询
查询
whois 203.0.113.10 | grep -Ei 'org|country|netname'
# 批量：按 ASN 聚合连接数再人工抽查IDC/云网段不等于恶意，重点看与业务无关的离群目标。
本包目录（137 条）
溯源思路与流程30 条日志溯源35 条
流量与样本溯源30 条
- NetFlow/IPFIX 元数据溯源
- Zeek 日志体系速查
- PCAP 证据的哈希与来源登记
- 会话流重组导出
- DNS 隧道流量特征
- 加密 DNS（DoH/DoT）侦测思路
- 周期性外联（Beacon）识别
- TLS 证书与 SNI 线索
- HTTP 对象导出与哈希
- SMB 横向移动流量线索
- 外带数据体量估算
- 隧道协议识别要点
- 从 PCAP 提取文件对象
- PE 头部与导入表解读
- 沙箱报告阅读要点
- IOC 规范化与管理
- YARA 规则匹配思路
- Sigma 规则转查询实践
- 威胁情报比对方法
- 邮件头 Received 链分析
- 样本归因的表述纪律
- JARM 指纹比对
- JA3/JA4 客户端指纹应用
- 扫描流量特征识别
- IP 归属与 ASN 核查
- 样本哈希计算与记录
- 样本初筛（Triage）流程
- strings 提取 IOC 的注意点
- 附件类型鉴定与哈希
- 脚本样本分析线索
IP 归属与 ASN 核查
对目的 IP 做归属核查：ASN、注册机构与地理信息用于判断"这流量像不像该去的地方"。
易错点
- 地理库精度有限，只作辅助维度
- CDN/云前置 IP 归属会误导，结合域名与历史解析
数据来源与参考
- ARIN/RIPE whois 服务说明