溯源证据链是什么
证据链是把一次安全事件从「告警出现」到「处置完成」所需的各类记录按时间串起来：网络侧（NAT 转换、会话、威胁告警）、主机侧（系统与应用日志）、账号侧（认证与授权）、处置侧（隔离封禁记录）。单点证据只能提出假设，多源互相印证才能形成结论，也才能在复核与监管问询时站得住。
证据分类
| 网络侧 | NAT 日志、会话日志、威胁告警、策略拒绝日志 |
|---|---|
| 主机侧 | 操作系统日志、应用日志、进程与文件变更记录 |
| 账号侧 | 认证日志、堡垒机与 VPN 登录记录、权限变更 |
| 处置侧 | 隔离、封禁、恢复动作的执行记录与执行人 |
| 前置条件 | 全网 NTP 同步与足够的日志留存期 |
典型使用场景
- 监管检查或内部审计要求还原某次事件的完整经过
- 怀疑数据外泄：确认源主机、使用的账号与流出路径
- 攻击溯源：从公网地址经 NAT 转换反查内网主机
- 责任界定：区分误操作、越权行为与外部攻击
- 事件复盘：为后续加固与流程改进提供依据
证据链模板
证据链模板
1. 事件时间与初始告警来源、内容 # 起点
2. 涉及地址：公网地址、NAT 转换、内网主机 # 定位
3. 主机与账号：登录记录、进程、文件变更 # 归因
4. 影响范围：受影响资产与数据范围 # 评估
5. 处置动作与结果、时间点 # 处置
6. 证据清单：名称、位置、哈希、获取人 # 可信度证据可用性的依赖项
| 依赖项 | 缺失或失效的后果 |
|---|---|
| NTP 同步 | 时间线错位，NAT 会话与主机日志无法配对 |
| 日志留存时长 | 超出保留期的记录已删除，事件无法还原 |
| NAT 日志开启 | 只知道公网地址，定位不到内网主机 |
| 认证日志集中 | 无法确认究竟是哪个账号执行的操作 |
| 处置记录留痕 | 无法证明处置是否及时、是否漏项 |
证据获取过程本身也要留痕：谁、何时、通过什么方式取得。缺少这一环，结论在复核时无法复现。
主机侧日志最易被攻击者清除：先做镜像或哈希固化再分析，避免在原始系统上直接翻查破坏证据。