为什么要在告警时留存报文
威胁告警只告诉你「命中了哪条规则」，至于是不是误报、攻击有没有成功、影响的是哪个业务，都需要回到原始报文才能判断。抓包留存一般是告警触发前后的若干报文，既能支撑研判，也能在事件复盘与取证时提供证据。但报文里可能带业务数据与个人信息，留存范围、时限与访问权限必须受控。
基本信息
| 留存内容 | 告警触发前后的报文片段，常见为前后各若干包 |
|---|---|
| 实现方式 | 设备自带抓包功能，或旁路镜像抓包 |
| 触发条件 | 按高危等级或指定规则触发，避免全量 |
| 存储要求 | 按事件编号归档，容量与保留期提前规划 |
| 合规要求 | 留存范围与时限符合内部制度与法规 |
| 访问控制 | 归档目录权限受限，下载全程留痕 |
典型使用场景
- 高危告警研判：确认攻击载荷内容与是否突破防护
- 事件复盘：还原攻击链与真实影响范围
- 误报分析：把报文交给规则负责人优化特征
- 取证支撑：为监管检查或内部调查提供原始证据
- 向厂商或安全服务方共享样本作为分析输入
操作要点
操作要点
1. 明确哪些高危告警自动抓包，避免全量抓取 # 范围
2. 抓包文件按事件编号与时间归档 # 归档
3. 归档目录权限受控，下载需审批并留痕 # 权限
4. 记录证据来源、获取人与文件哈希值 # 可信度
5. 定期清理超期文件并保留清理记录 # 合规留存策略的取舍
| 策略 | 优点 | 代价 |
|---|---|---|
| 仅高危告警抓包 | 资源占用可控 | 低危事件缺少原始证据 |
| 全量抓包 | 证据最完整 | 存储与设备性能压力极大 |
| 按事件人工抓包 | 灵活精准 | 依赖及时响应，容易错过时间窗口 |
抓包文件可能包含业务数据，传输与存储都按敏感数据管理，对外共享前先脱敏或走审批。
抓包范围设置过大会快速占满存储并影响设备性能：宁可先窄后宽，也不要一上线就全量抓取。