| 用途 | 从沙箱结论中提取可追查线索 |
|---|---|
| 重点 | 进程树 / 文件落地 / 外联 / 持久化动作 |
阅读顺序
阅读顺序
1) 进程树：谁拉起谁
2) 外联：域名/IP 与端口、有无证书
3) 落地文件哈希：回端点与流量双比对沙箱环境可被识别，报告里"无行为"不等于样本无害。
本包目录（137 条）
溯源思路与流程30 条日志溯源35 条
流量与样本溯源30 条
- NetFlow/IPFIX 元数据溯源
- Zeek 日志体系速查
- PCAP 证据的哈希与来源登记
- 会话流重组导出
- DNS 隧道流量特征
- 加密 DNS（DoH/DoT）侦测思路
- 周期性外联（Beacon）识别
- TLS 证书与 SNI 线索
- HTTP 对象导出与哈希
- SMB 横向移动流量线索
- 外带数据体量估算
- 隧道协议识别要点
- 从 PCAP 提取文件对象
- PE 头部与导入表解读
- 沙箱报告阅读要点
- IOC 规范化与管理
- YARA 规则匹配思路
- Sigma 规则转查询实践
- 威胁情报比对方法
- 邮件头 Received 链分析
- 样本归因的表述纪律
- JARM 指纹比对
- JA3/JA4 客户端指纹应用
- 扫描流量特征识别
- IP 归属与 ASN 核查
- 样本哈希计算与记录
- 样本初筛（Triage）流程
- strings 提取 IOC 的注意点
- 附件类型鉴定与哈希
- 脚本样本分析线索
沙箱报告阅读要点
读沙箱报告先看行为摘要与网络请求两节：落地文件、进程树、注册表改动、外联目标按证据价值排序提取。
易错点
- 报告结论是沙箱环境下的观察，引用时保留环境限定
- 网络请求部分常含模拟器噪声，先剔除常见探测域名
数据来源与参考
- 通用沙箱平台报告结构（cape / 商业沙箱文档）