Cloud & IT Cert Prep · 课时

网络与内存取证

Q: 「网络与内存取证」这节课中我会学到什么？

获取并分析数据包捕获文件（pcap）和内存转储，以重建攻击者通信并识别隐藏在 RAM 中的恶意软件。 你通过在浏览器中直接运行的动手代码来练习 Cloud & IT Cert Prep，全天候 AI 导师会在你学习这节课的过程中回答你的问题。

获取并分析数据包捕获文件（pcap）和内存转储，以重建攻击者通信并识别隐藏在 RAM 中的恶意软件。

网络与内存取证 是 CoddyKit 上的免费 Cloud & IT Cert Prep 课时。这是第 4 节课，共 4 节。你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。这是 Cloud & IT Cert Prep 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Cloud & IT Cert Prep 课程共包含 4 节课。

网络取证概述

网络取证通过捕获和分析网络流量，重建攻击者的通信活动、识别横向移动并检测数据外泄。与端点取证不同，端点取证检查的是可能已在受入侵主机上遭到篡改的证据；网络证据在事后更难被攻击者更改——网络探针或流量监控系统已经捕获的数据包无法被攻击者追溯删除。网络取证与端点取证相互补充，从而提供完整的攻击全貌。

数据包捕获基础

数据包捕获（PCAP）在数据包层面记录所有网络流量，包括完整的有效载荷内容。相关工具包括Wireshark（基于图形用户界面，应用广泛）、tcpdump（命令行工具，可编写脚本）和Zeek（原名 Bro，可根据 PCAP 生成协议层日志）。完整的数据包捕获会大量占用存储空间；高速网络可能需要专用的捕获设备。PCAP 分析可以揭示：明文协议中的凭据、C2 信标通信模式、外泄数据以及横向移动连接。

# tcpdump: capture all traffic on eth0
tcpdump -i eth0 -w /forensics/incident.pcap

# Capture only traffic to/from attacker IP
tcpdump -i eth0 host 198.51.100.10 -w /forensics/attacker.pcap

# Wireshark filter examples:
# Show HTTP GET requests: http.request.method == 'GET'
# Show DNS queries: dns.qr == 0
# Show large outbound transfers: ip.dst != 10.0.0.0/8 && tcp.len > 1000
# Show cleartext FTP creds: ftp.request.command == 'PASS'

NetFlow 与流量分析

NetFlow（及其开源等效方案 IPFIX）会记录网络会话的元数据，但不会捕获有效载荷内容，包括源/目标 IP、源/目标端口、协议、字节数、数据包数和时间戳。与完整 PCAP 相比，NetFlow 的存储效率高得多，适合长期保留（90-365 天）。在取证过程中，NetFlow 可以识别：事件时间窗口内哪些系统曾通信、数据外泄（大量出站字节数）以及 C2 信标通信（以固定规律连接外部 IP，且每次传输的数据量较小）。

# Analyze NetFlow data with nfdump
# Show top talkers (by bytes) in incident time window
nfdump -r /var/cache/netflow/2026/06/20/ \
  -t '2026/06/20.02:00-2026/06/20.06:00' \
  -s ip/bytes -n 20

# Show all connections TO external IPs from suspicious host
nfdump -r /var/cache/netflow/ \
  'src ip 10.0.1.50 and dst ip not in [10.0.0.0/8]'

# VPC Flow Logs provide similar data in cloud environments

DNS 取证

DNS 查询日志是强大的取证来源，因为大多数 C2 通信和恶意软件下载都需要进行 DNS 解析。恶意 DNS 活动的指标包括：查询新注册或信誉较低的域名、对单个域名进行高频查询（DGA 恶意软件尝试大量生成的名称）、DNS 隧道（使用异常长或高熵的子域名来外泄数据），以及查询与已知恶意软件家族相关的域名。即使 HTTP 流量检查受到限制，DNS 通常仍会被记录。

# DNS sinkhole detection - check for DGA domains
# DGA: malware generates random domain names to find active C2
# Indicators:
# - High volume of NXDOMAIN responses from one host
# - Domain names with high entropy (random characters)
# - Queries to .ru/.cn/.tk TLDs unusual for organization

# Wireshark filter for NXDOMAIN responses
dns.flags.rcode == 3  # NXDOMAIN

# Calculate domain entropy to find DGA
# Legitimate: google.com (low entropy)
# DGA: xk3j9pqm2v.com (high entropy)

C2 通信模式

攻击者控制的服务器与受入侵系统之间的命令与控制（C2）通道具有特征性模式。信标通信会产生定期连接（例如每 30 秒一次）；在 NetFlow 中，这表现为以固定间隔向同一外部 IP 发送大量小数据包。抖动会为信标间隔加入随机变化，以规避检测。分析人员会寻找连接时间上的统计规律，从正常 Web 流量的噪声中识别信标通信。

# Detect beaconing behavior with Zeek/RITA
# RITA (Real Intelligence Threat Analytics) analyzes Zeek logs

# Manual NetFlow beacon detection
nfdump -r /var/cache/netflow/ \
  'src ip 10.0.1.50' \
  -o 'fmt:%ts %sa %da %dp %byt' |
  awk '{print $1}' | sort | uniq -c
# Regular intervals in the timestamp column = beaconing

# Zeek conn.log: look for many connections to same IP
# with similar connection durations and small byte counts

使用 Volatility 进行内存取证

内存取证会分析 RAM 转储，以提取磁盘上可能不存在的恶意活动证据。Volatility Framework（开源）是业界用于内存分析的标准工具。其主要能力包括：列出正在运行的进程及其父子关系、识别合法进程中的注入代码、提取采集时处于 Open 状态的网络连接、从内存中恢复注册表配置单元内容，以及提取保存在 RAM 中的加密密钥。

# Volatility 3 memory analysis commands
# List running processes
vol -f memory.raw windows.pslist

# List processes showing hidden/injected processes
vol -f memory.raw windows.pstree

# Find process injection (code in wrong memory regions)
vol -f memory.raw windows.malfind

# List network connections at time of capture
vol -f memory.raw windows.netstat

# Dump a suspicious process's memory for further analysis
vol -f memory.raw windows.memmap --pid 1234 --dump

检测内存中的恶意软件

内存中的恶意软件会呈现出 Volatility 插件能够识别的特定模式。进程注入（将代码注入合法进程，例如 svchost.exe）会表现为：某个通常不应具有执行权限的进程中存在带执行权限的内存区域。空洞进程（以合法进程为外壳、用恶意代码替换原始代码）会表现为进程名称与内存中实际代码之间存在不一致。内核 Rootkit可能会将进程从进程列表中隐藏，但 Volatility 可以将正在运行的进程列表与内核的原始进程结构列表进行比较，从而检测出这些进程。

# Find suspicious executable memory regions (malfind output)
# Look for:
# - MZ header (PE file magic bytes: 4d 5a) in injected memory
# - Memory pages with Read+Write+Execute permissions (uncommon)
# - Code in heap or stack regions

vol -f memory.raw windows.malfind
# Output shows process, virtual address, protection flags, hex dump
# MZ in non-standard location = process injection indicator

# Compare pslist (API) vs psscan (pool scanner) to find hidden procs:
vol -f memory.raw windows.psscan  # shows processes hidden from API

从内存中提取凭据

内存取证在恢复凭据方面尤其有效。Windows 会为了实现单点登录，将凭据存储在LSASS（本地安全机构子系统服务）进程内存中。Mimikatz 等工具会通过读取 LSASS 内存来提取明文密码和 NTLM 哈希值。进行取证时，Volatility 可以从为调查而获取的内存转储中提取相同信息，从而揭示受入侵系统缓存了哪些凭据，并帮助确定潜在横向移动的范围。

# Extract cached credentials from LSASS memory (forensic use)
vol -f memory.raw windows.hashdump  # extracts NTLM hashes from SAM

# Detect Mimikatz execution in memory:
vol -f memory.raw windows.malfind | grep -i lsass
# Or search for Mimikatz strings in process memory:
vol -f memory.raw windows.strings --pid <lsass_pid> |
  grep -i 'mimikatz\|sekurlsa\|wdigest'

# Defense: Credential Guard (Windows 10+) moves LSASS credentials
# to a protected VTL1 hypervisor environment Mimikatz cannot access

关联网络与内存证据

最强大的取证分析会结合网络证据与内存证据。内存可以显示正在运行哪些进程以及其中包含哪些代码；网络取证则可以显示这些进程与哪些对象通信。如果 Volatility 内存分析中发现某个进程，而 PCAP 中也显示该进程存在网络连接，且连接到 DNS 日志中标记的域名，同时 NetFlow 中还有对应的外部 IP，那么这些证据的汇聚就能高可信度地归因恶意活动，并支持还原完整的攻击过程。

网络时间协议（NTP）与时间戳准确性

准确的时间戳对于关联网络和端点取证证据至关重要。如果某台服务器的时钟相对防火墙时钟偏差 15 分钟，按时间戳关联事件就会产生错误的时间线。网络取证证据的可靠程度，取决于生成日志的设备的时间同步情况。组织必须在所有与安全相关的设备上配置一致的NTP（网络时间协议），并记录调查期间发现的任何已知时间差异。

# Verify NTP synchronization on Linux
timedatectl status
# Check: 'System clock synchronized: yes'
# Check: 'NTP service: active'

# Check NTP peers
ntpq -p
# *  = current reference, + = candidate

# Windows NTP status
w32tm /query /status

# During incident: document the clock offset of each system
# so timestamps can be normalized in the timeline

加密流量分析面临的挑战

大多数现代 C2 通信都使用TLS 加密，使网络取证分析人员无法直接读取有效载荷内容。不过，即使是加密流量也会透露元数据：连接时间模式（信标通信）、证书异常（攻击者基础设施使用的自签名证书、CN 字段不匹配）、JA3 指纹（TLS 客户端指纹识别，无论目标位置如何，都可以识别特定恶意软件家族），以及异常的 TLS 握手特征。Zeek 等工具会自动从 TLS 连接中提取 JA3 指纹，因此无需解密流量即可检测已知恶意软件。

# Zeek extracts JA3 fingerprints from TLS connections
# ssl.log contains JA3 and JA3S hashes
# Check against known-malware JA3 database

cat ssl.log | zeek-cut ja3 ja3s server_name |
  sort | uniq -c | sort -rn | head -20

# Known malware JA3 hashes (examples):
# Metasploit: 6734f37431670b3ab4292b8f60f29984
# Cobalt Strike: 72a589da586844d7f0818ce684948eea
# Reference: https://github.com/salesforce/ja3

快速检查

请测试您对本课 CompTIA Security+（SY0-701）知识点的理解。

课程回顾

本课您学到了：数据包捕获和 NetFlow 提供互补的网络证据——PCAP 展示完整内容，而 NetFlow 以规模化方式展示元数据；C2 信标通信表现为有规律的周期性连接，可以通过连接时间的统计分析进行检测；以及Volatility Framework 会分析 RAM 转储，以检测进程注入、提取网络连接，并识别隐藏在合法进程中的恶意软件。恭喜您完成取证模块！接下来将学习风险管理和安全框架。

常见问题解答

「网络与内存取证」课时是免费的吗？

是的 — 「网络与内存取证」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Cloud & IT Cert Prep 课程的其余内容，请升级到 CoddyKit PRO。 Cloud & IT Cert Prep 课程共包含 4 节课。

「网络与内存取证」这节课中我会学到什么？

获取并分析数据包捕获文件（pcap）和内存转储，以重建攻击者通信并识别隐藏在 RAM 中的恶意软件。你通过在浏览器中直接运行的动手代码来练习 Cloud & IT Cert Prep，全天候 AI 导师会在你学习这节课的过程中回答你的问题。

学习 Cloud & IT Cert Prep 需要有经验吗？

无需任何先前经验。CoddyKit 上的 Cloud & IT Cert Prep 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。这是第 4 节课，共 4 节。

「网络与内存取证」课时需要多长时间？

大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。

我能在这节 Cloud & IT Cert Prep 课中编写并运行代码吗？

能。每节 Cloud & IT Cert Prep 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。

此课程中的所有课时

← 返回 Cloud & IT Cert Prep