溯源目標與挑戰

目標：確定攻擊者真實 IP/身分。挑戰：IP 易偽造 (來源位址欺騙)、攻擊者刪除日誌、使用代理/跳板/Tor、加密通道 (VPN/SSH/HTTPS)。

四大溯源技術手段

1. Netstat 即時連線監控

netstat -anob (Windows) / netstat -anp (Linux) 顯示所有連線、PID、程式名。
缺點：僅顯示當前連線，攻擊間歇期無痕跡。
改良：排程任務定期 netstat >> log.txt 持久化記錄；或使用 Get-NetTCPConnection (PowerShell) 結合 WMI 事件訂閱即時記錄。

2. 系統日誌審計

Linux/Unix

• /var/log/secure / /var/log/auth.log：SSH 登入 (成功/失敗)、sudo、su、使用者切換。
• /var/log/wtmp (last)、/var/log/btmp (lastb)：歷史登入/失敗記錄 (二進制，用 last/lastb 讀取)。
• /var/log/utmp：當前登入用戶。
• Shell 歷史 (.bash_history)、auditd (核心審計子系統) 記錄系統調用、檔案存取、網路連線。

Windows

• 安全性日誌 (Event ID 4624 登入類型 2/3/10、4625 失敗、4672 特權登入、4688 進程建立、4698/4702 排程任務、5140/5145 網路共享存取)。
• 系統/應用程式日誌：服務啟停、錯誤、應用崩潰。
• 缺陷：安全性日誌預設不記錄來源 IP (僅類型 3/10 有)，需啟用「審核登入事件」並配合 NPS/802.1X/VPN 日誌關聯。

補救

部署 Sysmon (Sysinternals) 記錄詳細進程建立 (命令列、父進程、雜湊)、網路連線 (Event ID 3)、檔案建立/修改 (Event ID 11/23)、註冊表修改、WMI 事件、DNS 查詢。配合 Windows Event Forwarding (WEF) 集中收集。

3. 防火牆日誌

優勢：部署於網路邊界/核心，難被攻擊者直接篡改。記錄：來源/目的 IP、埠、協定、動作 (Allow/Drop)、應用識別 (App-ID)、威脅防護告警 (IPS/IDS 簽名命中)。
風險：防火牆自身可能被 DoS 癱瘓、日誌被繞過 (加密流量未解密)、規則配置錯誤導致盲區。
對策：高可用雙機熱備、旁路部署+流量鏡像、啟用 SSL 檢測 (受管理憑證)、定期完整性驗證 (日誌雜湊鏈)。

4. 原始封包捕獲與分析 (全封包取證)

部署全流量錄製系統 (NetWitness, Arkime/Moloch, Zeek/Bro, 自建 PCAP 存儲)。優勢：
- 還原完整攻擊鏈 (握手、載荷、回應、數據外洩)。
- 繞過端點日誌竄改 (網路層面真相)。
- 支援事後溯源任意時間窗、任意協定深度解析。
挑戰：存儲成本高 (PB 級)、隱私合規 (GDPR/個資法)、加密流量可見度低 (需 TLS 解密或 JA3 指紋分析)。

綜合溯源流程

1. 觸發告警 (EDR/NIDS/WAF/威脅情報/用戶舉報)。
2. 鎖定時間窗、受影響資產、疑似攻擊者 IP/帳號。
3. 關聯多源日誌：端點 (Sysmon/EDR) → 網路 (防火牆/全流量) → 應用 (WAF/資料庫審計) → 身分 (AD/IdP/VPN)。
4. 識別跳板/代理鏈：WHOIS、ASN、威脅情報平台 (MISP/AT&T AlienVault/IBM X-Force) 查信譽、歸屬。
5. 若為內部攻擊：結合實體門禁、VPN 登入、資產管理 (CMDB) 定位具體人員/設備。
6. 證據保全：鏈式保管、數位簽章、時間戳、法律公證。

結語

單一數據源不可信，溯源必須「多源關聯、全流量留存、自動化關聯分析、法律級證據保全」。建設 SOC (安全運營中心) 核心能力在於「看得見、查得清、留得住、用得上」。