流量采集方式
网络取证要先解决「怎么把流量拿到」的问题。交换机端口镜像（SPAN）配置简单，但重负载下会丢包；串接分光器（TAP）链路无损，但需要布线配合甚至短暂停机。选型不只是性能取舍，它直接决定抓到的流量能否支撑结论。
基本信息
| SPAN | 端口镜像，配置快，受端口容量与镜像会话数量限制 |
|---|---|
| TAP | 串接分光，链路无损，需要布线改造 |
| 抓包工具 | tcpdump、dumpcap、Wireshark、tshark |
| 落盘策略 | 环形缓冲避免写满磁盘，按时间切片，过滤器尽量精简 |
| 完整性 | 抓包端与被镜像端口都要记录丢包计数 |
| 容量估算 | 按链路带宽与采集时长预估存储需求 |
典型使用场景
- 事件期间固定网络侧证据
- 验证可疑主机的外联目标
- 分析入侵后的横向移动路径
- 比对主机侧日志与网络侧记录
- 为流量回溯分析准备好 pcap 输入
最小示例
最小示例
# 环形缓冲抓包：每 600 秒切片，最多保留 24 个文件
sudo tcpdump -i eth3 -s 0 -w /evidence/traffic.pcap -G 600 -W 24 'not port 22'
# 单独测一次接口丢包情况
sudo tcpdump -i eth3 -s 0 -w /dev/null -c 1000
# 用 tshark 统计每分钟会话量，判断流量规模
tshark -r /evidence/traffic.pcap -q -z io,stat,60 | head -20
# 抓完后固化哈希
sha256sum /evidence/traffic.pcap | tee /evidence/traffic.pcap.sha256方式与取舍
| 方式 | 优点 | 局限 |
|---|---|---|
| SPAN 端口镜像 | 配置快、不断网 | 重负载下可能丢包 |
| TAP 分光 | 链路无损、可控 | 需布线改造或短暂停机 |
| 抓包端缓冲 | 缓解写入抖动 | 缓冲溢出仍会丢包 |
| 过滤器 | 减少落盘体积 | 过滤过窄会漏掉旁证流量 |
| 切片文件 | 便于分段分析 | 需记录每段的起止时间 |
抓包前先确认镜像会话的容量与丢包计数：丢包率直接影响结论可靠性，必须写进采集记录。
只抓兴趣流量与全量抓包各有取舍，结论里要写明过滤器范围，避免读者误以为拿到了全量数据。
在业务链路上串接采集设备存在中断风险，变更需审批并准备回滚方案，操作窗口与影响要写进记录。