流量与样本溯源43 条

流量镜像（SPAN/TAP）采集要点

交换机镜像口与分光器是流量采集的常见方式：镜像口会丢弃超载流量且可能聚合多口，选路与容量先核对再抓包。

SPAN	端口镜像，配置快，重负载下可能丢包
TAP	串接分光，无损但需布线配合

抓包落盘

sudo tcpdump -i eth3 -s 0 -w /evidence/traffic.pcap -G 600 -W 24 'not port 22'
tshark -r /evidence/traffic.pcap -q -z io,stat,60 | head -20

先确认镜像会话容量与丢包计数，丢包率会直接影响结论可靠性。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌