网络攻击发生后，数据不会说谎
公司财务系统突然被锁，勒索软件弹出倒计时；个人电脑无缘无故发出了大量垃圾邮件；某电商平台发现用户数据异常外流。这些事件背后，都藏着攻击者的操作痕迹。网络攻击取证就是通过技术手段，把“谁干的、怎么干的、干了什么”一步步还原出来。
日志分析：最基础也最关键的线索来源
服务器、防火墙、路由器、操作系统都会记录运行过程中的关键事件。比如 Apache 的访问日志会记录每次请求的 IP 地址、时间、请求路径和返回状态码。当发现某个时间段出现大量 404 请求指向 /wp-admin.php，很可能有人在扫描是否存在 WordPress 后台漏洞。
查看 Nginx 日志的一个典型命令：
grep "404" /var/log/nginx/access.log | awk '{print $1}' | sort | uniq -c | sort -nr这条命令能快速找出频繁尝试无效页面的客户端 IP，为后续封锁提供依据。
内存取证：捕捉正在发生的恶意行为
有些攻击者使用无文件攻击（fileless attack），恶意代码只存在于内存中，重启后痕迹消失。这时候必须抓取内存镜像进行分析。工具如 Volatility 可以从内存快照中提取运行中的进程、网络连接、注入的 DLL 模块。
例如，在一台疑似被远程控制的 Windows 主机上，通过内存分析发现一个名为 svch0st.exe 的进程，它伪装成系统服务，实际连接到了境外 IP 的 4444 端口——这是典型的 Meterpreter 反向 shell 特征。
磁盘取证：深入挖掘隐藏的证据
即使攻击者删除了文件，硬盘上的数据仍可能残留。取证人员会使用写保护设备挂载硬盘，避免污染原始数据。通过工具如 FTK Imager 或 Autopsy 扫描未分配空间，常能恢复被删的日志、脚本或加密货币挖矿程序。
某次企业内网渗透事件中，技术人员在员工电脑的回收站之外，从磁盘未分配区域恢复出一份 PowerShell 脚本，内容是下载并执行远控木马，执行时间与域账户异常登录时间完全吻合。
网络流量留存：还原攻击路径
部署在网络边界或核心交换机上的抓包设备（如使用 tcpdump）能记录完整的通信过程。一次 SQL 注入攻击，往往能在 PCAP 文件中看到类似以下特征：
GET /product.php?id=1%27+UNION+SELECT+username,password+FROM+users-- HTTP/1.1这类请求一旦出现在业务日志中几乎不可能被忽略，但在攻击初期，只有流量记录能提供完整上下文。配合时间戳和源 IP，可以准确定位攻击入口点。
时间线关联：拼出完整的攻击图景
单独一条日志可能只是异常，但多源数据叠加就可能成为证据链。比如防火墙日志显示某 IP 在凌晨 2 点尝试连接数据库端口，同时数据库审计日志出现异常查询，而主机监控发现同一时间有可疑进程启动。这三个时间点高度重合，基本可以锁定攻击窗口。
用 Excel 或专用时间线工具（如 Timesketch）将不同系统的事件按时间排序，往往能发现人为忽略的细节。曾有一个案例中，攻击者利用合法账号登录跳板机，但时间线显示其操作节奏极快，远超人类反应速度，最终确认是凭证被盗后自动化工具在操作。
保持证据完整性：每一步都要可追溯
取证过程中，任何对原始数据的修改都会影响法律效力。因此所有操作必须使用只读模式，镜像文件需计算哈希值（如 SHA-256）并记录。一份完整的取证报告应包含：采集时间、设备信息、操作人、哈希值、分析工具版本。
比如对一块硬盘做镜像后，立即执行：
sha256sum /evidence/disk_image_001.img生成的哈希值要写入报告，并在后续每次分析前重新校验，确保数据未被篡改。