流量与样本溯源43 条

PCAP 证据的哈希与来源登记

流量证据入卷三要素：哈希、采集点与时间窗：没有来源登记的 pcap 在后续环节没有证据力。

用途	让流量证据可复核
要素	sha256 / 采集接口或镜像点 / 起止时间 / 工具版本

登记

sha256sum capture-20261012.pcap > capture-20261012.pcap.sha256
stat -c '%n %s %y' capture-20261012.pcap

采集参数（snaplen、BPF）一并记录，解释"为什么看不到"。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌