流量分析

基础前言

流量分析（Traffic Analysis）又可以称作是网络取证（Network Forensics），正如其名，就是对计算机或计算机网络通信所产生的流量进行分析的一门技术。应急响应中这是一门我们必须要掌握的技能。无论是 Web 攻击、内网渗透，还是协议滥用，流量数据都是最直接、最可靠的证据。

记住：只要有通信就会产生流量。

安全事件调查中，我们通常依赖 电子四大证据：
日志：记录主机、网络设备、安全设备的操作历史，如 WAF、IDS/IPS 记录的攻击日志
流量：抓取网络数据包，分析攻击者行为及 C2（命令控制）通信。
内存：分析进程运行时的内容，可能包含密钥、后门、Shellcode。
磁盘：存储攻击者植入的 WebShell、恶意程序、凭据等关键数据。

核心工具：Wireshark、Tshark（wireshark命令版）、Tcpdump（轻量级抓包工具，适用于服务器）、Python中的Scapy 库

网络体系结构

TCP/IP 是因特网上的标准通信协议集，它不是针对某一个协议；TCP/IP 的体系结构分为 4 层，分别是