Day-253-网络取证与数据包分析

# Day 274: 网络取证与数据包分析

> 应急响应系列第 14 天 | 预计阅读时间：32 分钟 | 难度：★★★★☆

---

## 清单 目录

1. [网络取证概述](#网络取证概述)
2. [流量捕获与存储](#流量捕获与存储)
3. [Wireshark 分析](#wireshark 分析)
4. [协议分析技术](#协议分析技术)
5. [恶意流量检测](#恶意流量检测)
6. [数据外传分析](#数据外传分析)
7. [网络日志分析](#网络日志分析)
8. [总结与思考](#总结与思考)
9. [参考资料](#参考资料)

---

## 网络取证概述

### 网络取证价值

网络流量记录攻击者与受害系统的通信，是关键证据来源：

| 证据类型 | 说明 | 取证价值 |
|----------|------|----------|
| **C2 通信** | 攻击者控制流量 | 确定攻击者基础设施 |
| **数据外传** | 被窃取数据传输 | 确定泄露范围 |
| **横向移动** | 内网传播流量 | 确定影响范围 |
| **攻击载荷** | 恶意软件传输 | 获取样本 |
| **认证信息** | 登录凭证传输 | 确定入侵账户 |

### 网络取证挑战

| 挑战 | 说明 | 应对 |
|------|------|------|
| **数据量大** | 高速网络流量巨大 | 选择性捕获、采样 |
| **加密普及** | TLS 加密无法查看内容 | 元数据分析、端点解密 |
| **隐私合规** | 可能包含个人隐私 | 脱敏、最小化采集 |
| **存储成本** | 长期存储成本高 | 分层存储策略 |

---

## 流量捕获与存储

### 捕获位置

```
                    ┌─────────────┐
                    │   互联网    │
                    └──────┬──────┘
                           │
                    ┌──────▼──────┐
                    │   边界      │  ← 捕获点 1：南北向流量
                    │   防火墙    │
                    └──────┬──────┘
                           │
                    ┌──────▼──────┐
                    │  核心交换   │  ← 捕获点 2：东西向流量
                    └──────┬──────┘
                           │
              ┌────────────┼────────────┐
              │            │            │
       ┌──────▼──────┐ ┌──▼────┐ ┌────▼────┐
       │  服务器区   │ │ 办公区 │ │  DMZ   │  ← 捕获点 3：关键区域
       └─────────────┘ └───────┘ └─────────┘
```

### 捕获方法

#### 端口镜像（SPAN）

```bash
# Cisco 交换机配置
monitor session 1 source interface Gi0/1 - 24 both
monitor session 1 destination interface Gi0/48

# 验证
show monitor session 1
```

#### 网络分路器（TAP）

**类型**：
- 被动 TAP：无需电源，完全被动
- 主动 TAP：有缓冲，防止丢包
- 聚合 TAP：多链路聚合

### 捕获工具

#### tcpdump

```bash
# 基本捕获
tcpdump -i eth0 -w capture.pcap

# 捕获特定端口
tcpdump -i eth0 port 80 or port 443 -w http.pcap

# 捕获特定主机
tcpdump -i eth0 host 192.168.1.100 -w host.pcap

# 带时间戳
tcpdump -i eth0 -tttt -w capture.pcap

# 限制文件大小
tcpdump -i eth0 -C 100 -W 10 -w capture.pcap
```

#### Wireshark/tshark

```bash
# tshark 捕获
tshark -i eth0 -w capture.pcap

# 捕获时过滤
tshark -i eth0 -f "port 80 or port 443" -w web.pcap

# 实时分析
tshark -i eth0 -Y "http.request" -T fields -e http.host -e http.request.uri
```

#### dumpcap

```bash
# 轻量级捕获工具
dumpcap -i eth0 -w capture.pcap -b filesize:100000 -b files:10
```

### 存储策略

| 存储层 | 介质 | 保留时间 | 用途 |
|--------|------|----------|------|
| **热存储** | SSD | 7 天 | 实时分析 |
| **温存储** | HDD | 30 天 | 事件调查 |
| **冷存储** | 磁带/对象存储 | 1 年 + | 合规、追溯 |

---

## Wireshark 分析

### 基本分析

#### 过滤器语法

```
# IP 地址
ip.addr == 192.168.1.100
ip.src == 192.168.1.100
ip.dst == 192.168.1.100

# 端口
tcp.port == 80
udp.port == 53

# 协议
http
dns
smb
rdp

# 组合
ip.src == 192.168.1.100 and tcp.port == 443
http.request.method == "POST"

# 字符串匹配
tcp contains "password"
http.request.uri contains "/admin"
```

#### 统计功能

```
菜单：Statistics → Conversations
- 查看主机间通信量
- 识别异常通信对

菜单：Statistics → Endpoints
- 查看各主机流量
- 识别流量异常主机

菜单：Statistics → Protocol Hierarchy
- 查看协议分布
- 识别异常协议
```

### 高级分析

#### 跟随 TCP 流

```
操作：右键数据包 → Follow → TCP Stream

用途：
- 查看完整 TCP 会话
- 提取传输内容
- 分析 HTTP 请求/响应
```

#### 提取对象

```
菜单：File → Export Objects → HTTP

提取：
- HTTP 传输的文件
- 恶意软件下载
- 文档、图片等
```

#### IO 图表

```
菜单：Statistics → IO Graphs

用途：
- 流量时间分布
- 识别流量峰值
- 发现异常模式
```

---

## 协议分析技术

### HTTP/HTTPS 分析

#### HTTP 请求分析

```
GET /admin/login.php HTTP/1.1
Host: example.com
User-Agent: Mozilla/5.0
Cookie: session=abc123
Content-Type: application/x-www-form-urlencoded

username=admin&password=test123
```

**检测要点**：
| 字段 | 检测内容 |
|------|----------|
| URL | SQL 注入、XSS、目录遍历 |
| User-Agent | 扫描器、自动化工具 |
| Cookie | 会话劫持 |
| Body | 凭证、敏感数据 |

#### HTTPS 分析

**可见信息**：
- SNI（访问的域名）
- 证书信息
- 流量大小和时间
- JA3 指纹

**分析方法**：
```bash
# 提取 SNI
tshark -r capture.pcap -Y "tls.handshake.extensions_server_name" \
  -T fields -e tls.handshake.extensions_server_name

# 提取证书
tshark -r capture.pcap -Y "x509if.certificate" \
  -T fields -e x509if.certificate
```

### DNS 分析

#### DNS 查询分析

```bash
# 提取所有 DNS 查询
tshark -r capture.pcap -Y "dns" \
  -T fields -e dns.qry.name -e dns.a

# 统计查询频率
tshark -r capture.pcap -Y "dns" \
  -T fields -e dns.qry.name | sort | uniq -c | sort -rn

# 检测长域名（可能为 DNS 隧道）
tshark -r capture.pcap -Y "dns" \
  -T fields -e dns.qry.name | awk 'length > 50'
```

#### DNS 隧道检测

**特征**：
- 异常长的子域名
- 高频查询
- TXT 记录异常使用
- 编码数据（Base64、Hex）

**检测规则**：
```bash
# 检测高频查询
tshark -r capture.pcap -Y "dns" \
  -T fields -e ip.src -e dns.qry.name | \
  sort | uniq -c | awk '$1 > 100'
```

### SMB 分析

#### SMB 流量分析

```bash
# 过滤 SMB 流量
tshark -r capture.pcap -Y "smb"

# 检测文件访问
tshark -r capture.pcap -Y "smb2.cmd == 5" \
  -T fields -e smb2.file

# 检测共享访问
tshark -r capture.pcap -Y "smb" \
  -T fields -e smb.share
```

**检测场景**：
| 场景 | 特征 |
|------|------|
| 凭证传递 | 同一用户多主机登录 |
| PsExec | ADMIN$ 共享 + 服务创建 |
| 文件拷贝 | 大量文件传输 |

### RDP 分析

#### RDP 流量特征

```bash
# 过滤 RDP 流量
tshark -r capture.pcap -Y "tcp.port == 3389"

# 统计 RDP 连接
tshark -r capture.pcap -Y "tcp.port == 3389" \
  -T fields -e ip.src -e ip.dst | sort | uniq -c
```

**检测场景**：
- 暴力破解（大量连接尝试）
- 异常时间登录
- 异常源 IP

---

## 恶意流量检测

### C2 通信检测

#### 特征分析

| 特征 | 说明 | 检测方法 |
|------|------|----------|
| **定期连接** | 心跳信标 | 时间间隔分析 |
| **小流量** | 指令传输 | 流量大小统计 |
| **加密** | 隐藏内容 | JA3 指纹、证书分析 |
| **异常域名** | DGA 生成 | 域名熵值分析 |

#### Cobalt Strike 检测

**HTTP Beacon 特征**：
```
- User-Agent 固定或轮换
- URL 路径固定模式
- Cookie 包含编码数据
- 定期 GET/POST 请求
```

**检测方法**：
```bash
# 检测定期连接
tshark -r capture.pcap -Y "http" \
  -T fields -e frame.time -e ip.src -e ip.dst -e http.host | \
  sort | uniq -c
```

### 恶意软件通信

#### 僵尸网络检测

**特征**：
- 连接已知恶意 IP
- P2P 协议
- IRC 协议
- 定期心跳

#### 勒索软件通信

**特征**：
- C2 连接获取密钥
- 加密后外传
- Tor 网络使用

#### 挖矿木马检测

```bash
# 检测矿池连接
tshark -r capture.pcap -Y "tcp.port == 3333 or tcp.port == 4444" \
  -T fields -e ip.dst | sort | uniq -c

# 检测 stratum 协议
tshark -r capture.pcap -Y "tcp" \
  -T fields -e tcp.payload | grep -i "stratum"
```

### 横向移动检测

#### SMB 横向移动

```bash
# 检测管理共享访问
tshark -r capture.pcap -Y "smb" \
  -T fields -e smb.share | grep -E "ADMIN\$|C\$"

# 检测多主机连接
tshark -r capture.pcap -Y "smb" \
  -T fields -e ip.src -e ip.dst | \
  sort | uniq | awk '{print $1}' | sort | uniq -c | sort -rn
```

#### WMI 横向移动

```bash
# 检测 DCERPC 绑定
tshark -r capture.pcap -Y "dcerpc" \
  -T fields -e dcerpc.uuid
```

---

## 数据外传分析

### 外传渠道分析

| 渠道 | 检测方法 |
|------|----------|
| **HTTP/HTTPS** | 大流量外传、POST 请求 |
| **FTP** | 文件传输命令 |
| **邮件** | 大附件外发 |
| **云存储** | 访问云存储 API |
| **DNS** | DNS 隧道 |

### 流量分析

#### 大流量检测

```bash
# 统计各主机外传流量
tshark -r capture.pcap -q -z conv,ip \
  | awk '$3 ~ /^192.168/ && $4 !~ /^192.168/ {print}' \
  | sort -k3 -rn | head -20
```

#### 异常目的地检测

```bash
# 提取外连 IP
tshark -r capture.pcap -Y "ip.src==192.168.0.0/16 and ip.dst!=192.168.0.0/16" \
  -T fields -e ip.dst | sort -u

# 与威胁情报对比
grep -f known_bad_ips.txt external_connections.txt
```

### 内容提取

#### HTTP 文件提取

```bash
# 使用 Wireshark
File → Export Objects → HTTP

# 使用 tshark
tshark -r capture.pcap --export-objects http,/output/
```

#### 数据重组

```bash
# 使用 NetworkMiner
# 自动重组 TCP 流
# 提取文件、图片、凭证
```

---

## 网络日志分析

### 防火墙日志

#### 日志格式

```
时间 | 源 IP | 目的 IP | 源端口 | 目的端口 | 协议 | 动作 | 规则
2024-04-12 10:30:15 | 192.168.1.100 | 8.8.8.8 | 54321 | 53 | UDP | ALLOW | DNS
```

#### 分析场景

```bash
# 检测被阻断的连接
grep "DENY\|DROP\|BLOCK" firewall.log | \
  awk '{print $3}' | sort | uniq -c | sort -rn

# 检测端口扫描
grep "DENY" firewall.log | \
  awk '{print $2}' | sort | uniq -c | sort -rn

# 检测异常外连
grep "ALLOW" firewall.log | \
  awk '$4 !~ /^192.168/ {print}' | \
  awk '{print $3}' | sort | uniq -c | sort -rn
```

### 代理日志

#### 分析内容

```bash
# 统计访问域名
awk '{print $7}' proxy.log | sort | uniq -c | sort -rn

# 检测可疑域名
grep -E "evil|malware|hack" proxy.log

# 检测大文件下载
awk '$8 > 10000000' proxy.log  # 大于 10MB
```

### IDS/IPS 日志

#### 告警分析

```bash
# 统计告警类型
awk '{print $5}' ids_alert.log | sort | uniq -c | sort -rn

# 高频告警源
awk '{print $3}' ids_alert.log | sort | uniq -c | sort -rn

# 严重告警
grep -E "CRITICAL\|HIGH\|Emergency" ids_alert.log
```

---

## 总结与思考

### 核心要点回顾

1. **网络流量是关键证据** - 记录攻击者通信

2. **捕获位置决定视野** - 边界 + 内部关键节点

3. **Wireshark 是核心工具** - 强大的协议分析

4. **加密不是终点** - 元数据分析依然有效

5. **日志关联增强检测** - 多源日志关联分析

### 实战建议

1. **部署关键捕获点** - 边界、核心、关键区域

2. **建立基线** - 了解正常流量模式

3. **集成威胁情报** - IOC 实时匹配

4. **定期演练** - 验证检测能力

5. **保护隐私** - 脱敏和最小化采集

---

## 参考资料

### 工具资源

- **Wireshark** - https://www.wireshark.org/
- **Zeek (Bro)** - https://zeek.org/
- **Suricata** - https://suricata.io/
- **NetworkMiner** - https://www.netresec.com/

### 学习资源

- **SANS Network Forensics** - https://www.sans.org/forensics/
- **Wireshark University** - https://www.wireshark.org/

---

*365 天信息安全技术系列 | Day 274 | 网络取证与数据包分析*