| 用途 | 定位探测来源与范围 |
|---|---|
| 特征 | 短连接 / 端口离散 / SYN 无后续 |
聚合
聚合
tshark -r scan.pcap -Y 'tcp.flags.syn==1 and tcp.flags.ack==0' -T fields -e ip.src -e tcp.dstport | awk '{a[$1]++} END{for(i in a) print a[i], i}' | sort -rn | head扫描源也可能是被控内网主机，别止步于封 IP。
本包目录（137 条）
溯源思路与流程30 条日志溯源35 条
流量与样本溯源30 条
- NetFlow/IPFIX 元数据溯源
- Zeek 日志体系速查
- PCAP 证据的哈希与来源登记
- 会话流重组导出
- DNS 隧道流量特征
- 加密 DNS（DoH/DoT）侦测思路
- 周期性外联（Beacon）识别
- TLS 证书与 SNI 线索
- HTTP 对象导出与哈希
- SMB 横向移动流量线索
- 外带数据体量估算
- 隧道协议识别要点
- 从 PCAP 提取文件对象
- PE 头部与导入表解读
- 沙箱报告阅读要点
- IOC 规范化与管理
- YARA 规则匹配思路
- Sigma 规则转查询实践
- 威胁情报比对方法
- 邮件头 Received 链分析
- 样本归因的表述纪律
- JARM 指纹比对
- JA3/JA4 客户端指纹应用
- 扫描流量特征识别
- IP 归属与 ASN 核查
- 样本哈希计算与记录
- 样本初筛（Triage）流程
- strings 提取 IOC 的注意点
- 附件类型鉴定与哈希
- 脚本样本分析线索
扫描流量特征识别
扫描表现为短连接、多端口、单包试探：按源 IP 聚合目的端口数与连接时长可快速定位扫描源。
易错点
- 监控系统健康检查也扫端口，先排除已知自动化
- 单向丢包的探测在抓包点上可能只看到一半
数据来源与参考
- Nmap 文档（扫描类型原理）