为什么抓包要先谈合规
抓包不是普通的日志收集，它读取的是通信内容本身，可能包含账号凭据、个人身份信息、业务数据甚至他人隐私。所以采集行为需要三个前置条件：有明确授权、范围足够小、时间窗足够短；采集后的文件也要按敏感数据处理，到期清理并留痕。下面这些是通用做法，具体执行以所在组织的制度与当地法规为准。
基本信息
| 适用范围 | 生产网、办公网、云环境等所有涉及他人通信的采集 |
|---|---|
| 四项要素 | 授权、范围、时长、留存 |
| 授权 | 书面审批或工单编号，写清请求方与用途 |
| 范围 | 抓包点位 + 过滤表达式，越具体越好 |
| 时长 | 明确起止时间，优先用自动停止参数 |
| 留存 | 存放位置、访问权限、保留期限与清理记录 |
典型落地动作
- 申请环节：在工单里写清现象、假设与需要验证的字段，评估是否必须抓包才能定位
- 执行环节：在最小范围内采集，用过滤表达式排除与问题无关的网段与端口
- 控制环节：给采集命令加时长与容量上限，避免无人值守长时间写盘
- 交接环节：文件走受控通道传递，附采集说明与哈希，不用公开网盘
- 收尾环节：任务结束清理临时文件，记录清理时间与执行人
采集记录模板
采集记录模板
任务: 目的与待验证假设
授权: 审批编号 / 请求方 / 有效期
范围: 点位(主机或交换机镜像口) + 过滤表达式
时长: 起止时间, 含自动停止参数
留存: 存放路径 + 访问权限 + 保留期限
清理: 完成时间 + 执行人 + 残留核对结果常见风险对照
| 做法 | 风险 | 替代方案 |
|---|---|---|
| 先抓全量再慢慢看 | 暴露面被无限放大 | 先按假设收窄过滤条件 |
| 文件放公共网盘传递 | 访问不可控、无法撤销 | 走受控通道并记录发送对象 |
| 长期保留历史抓包 | 数据越积越敏感 | 设定保留期并到期清理 |
| 只清主文件 | 导出对象、密钥日志被遗漏 | 清理时逐项核对中间产物 |
| 口头授权直接开抓 | 事后无法举证合法性 | 保留书面授权编号 |
含凭据、身份信息的抓包文件按最高敏感等级处理：落盘即收紧权限、传递走受控通道、到期销毁；不要把生产抓包带到个人设备或未受控的测试机上分析。
本条目是通用工程提醒，不构成法律意见；涉密、涉个人信息或跨境业务的采集，请先按组织合规流程确认。