遭受入侵後，如何快速鎖定攻擊者真實身分？溯源非單一工具可完成，需結合即時連線監控、日誌審計、封包鑑識、威脅情報四大技術面向，層層剝開偽裝層。
一、 即時連線監控：netstat 抓住「在線」攻擊者
netstat -ano（Windows）或 ss -antup（Linux）可列出所有 TCP/UDP 連線與對應 PID。缺點：僅能看到當前連線，攻擊者離線即失蹤。
工程化改良：
- 排程任務每 30 秒執行
netstat -ano >> conn_log.txt，保留 7 天滾動日誌。
- 搭配腳本異常偵測：單一 IP 連線數暴增、非業務埠口連線、可疑進程（非系統服務）建立外連。
二、 日誌審計：最完整的攻擊軌跡錄影帶
Linux/Unix 日誌金礦
/var/log/secure、/var/log/auth.log：SSH 登入成功/失敗、使用者、來源 IP、時間、執行指令。/var/log/audit/audit.log：Auditd 核心稽核，含系統呼叫、檔案存取、權限變更。last、lastb、utmp/wtmp/btmp：歷史登入/登出/失敗記錄。
防刪除對策：部署 syslog-ng/rsyslog 遠端轉發 至唯寫日誌伺服器；安裝 auditd + immutable 模式；使用 Logrotate 權限鎖定；關鍵主機部署 Wazuh/Osquery 即時采集。
Windows 事件日誌
- 安全性日誌 (Event ID 4624/4625/4672/4688/4698/4720/4732/5140/5145)：登入類型、帳號、來源 IP、進程建立、排程任務建立、群組異動、檔案共享存取。
- 啟用進階稽核原則：「物件存取 → 稽核檔案系統/登錄檔/核心物件」、「詳細追蹤 → 稽核進程建立/終止」。
- Sysmon (System Monitor)：補足原生日誌不足，記錄網路連線、DNS 查詢、檔案建立/刪除、登錄檔修改、WMI 事件、剪貼簿存取等豐富上下文。
防火牆/Proxy/VPN 日誌
邊界設備日誌較難被攻擊者竄改，提供真實來源 IP、目的埠、協議、流量大小、時間。需啟用「拒絕/丟棄」日誌，並定期驗證日誌完整性（Hash 鏈、區塊鏈錨定、WORM 儲存）。
三、 封包鑑識：還原攻擊現場的「監控錄影」
- 全量封包捕獲：關鍵段落部署網路 TAP/SPAN 埠，使用 Zeek (Bro)、Suricata、Moloch (Arkime) 全量存儲（視流量規模保留 3-30 天）。
- 流量回放分析：提取攻擊時間窗 PCAP，Wireshark 追蹤 TCP 流、重組檔案、解析惡意載荷、識別 C2 通訊特徵（DNS 隧道、HTTPS SNI 異常、固定心跳間隔）。
- 偽造 IP 識別：觀察 TTL、IP ID、TCP 視窗大小、選項順序、時間戳選項等指紋特徵，判斷封包是否經過 NAT/代理、是否為偽造來源位址。
四、 威脅情報與關聯分析：將線索串成證據鏈
- 將提取的 IP、域名、檔案雜湊、郵件標頭、SSL 憑證指紋、JA3 指紋送入 MISP、OpenCTI、ThreatQ 或商業 TI 平台。
- 關聯已知 APT 組織、惡意軟體家族、C2 基礎設施、歷史攻擊活動。
- 結合內部資產管理（CMDB）、漏洞掃描結果、EDR 偵測告警，繪製攻擊鏈圖譜（MITRE ATT&CK 映射）。
五、 法證就緒與證據保全關鍵原則
- 證據保全優先：發現入侵第一時間製作磁碟鏡像、記憶體映像、封包截取，嚴禁在原機操作。
- 時間同步：全環境強制 NTP/PTP 同步，時間偏差 < 1 秒，確保跨設備日誌關聯準確。
- 保管鏈：記錄每次證據移交人員、時間、地點、雜湊值，確保司法採納效力。
六、 結語
溯源是場時間賽跑。平時未建立完整日誌架構、封包留存、威脅情報訂閱、紅藍軍演練，事發時只能望著空洞的日誌發呆。將「溯源就緒度」納入資安成熟度模型，定期演練「從告警到鎖定攻擊者 IP/帳號/惡意軟體」全流程，才能在真正危機來臨時從容應對。