使用 Wireshark 进行网络取证

网络取证会分析捕获的数据包（PCAP 文件），以重建网络层面的攻击者活动，包括横向移动、命令与控制通信、凭据窃取、数据窃取，以及基于主机的取证无法发现的协议异常。

请使用 Wireshark（交互式工具）、tcpdump（CLI）或专用网络分流器收集网络证据。在事件发生前，请在关键网络分段上部署镜像端口或网络分流器。回溯分析需要预先建立的捕获基础设施。

显示过滤器可以缩小分析范围：http 显示 HTTP 流量，tcp.port==443 用于 HTTPS，ip.addr==10.0.0.5 用于特定主机，dns 用于名称查询，tcp.flags.syn==1 && tcp.flags.ack==0 用于筛选仅包含 SYN 的数据包（检测端口扫描）。

请右键点击数据包，依次选择“跟踪”→“TCP 流”，以人类可读的形式重建完整通信。对于 HTTP，这会显示完整的请求体和响应体，有助于重建被窃取的数据或命令与控制命令。

命令与控制信标通常表现为定期连接到同一个外部 IP。请应用 ip.dst == [suspicious_ip] 并检查帧时间；如果数据量较小且间隔稳定（每 60、300 或 600 秒一次），这通常是信标行为的特征。

DNS 查询可以揭示命令与控制域名、域名生成算法（DGA）模式和 DNS 隧道。高熵域名（例如 a1b2c3d4e5f6.evil.com）、异常的 TXT 记录查询，以及异常大的 DNS 响应，都表明可能存在基于 DNS 的命令与控制或数据窃取。

明文协议（HTTP、FTP、SMTP、LDAP、Telnet）会以明文传输凭据，因此这些凭据可以在数据包捕获中直接看到。请使用 http contains "password" 或 ftp contains "PASS" 进行筛选，以识别事件时间窗口内的凭据暴露。

如果没有私钥或预主密钥，就无法解密 TLS 加密流量。不过，JA3 指纹可以识别 TLS 客户端库（恶意软件通常具有特征性的 JA3 哈希），证书主题备用名称可以揭示命令与控制基础设施，而流量时间仍然可见。

数据窃取的迹象包括：向异常目的地进行大规模出站数据传输、包含 base64 编码正文的 HTTP POST 请求、异常大的 DNS 响应（DNS 隧道）、带有大负载的数据 ICMP 数据包，以及非工作时间产生的出站流量。

NetworkMiner 可以被动地从 PCAP 中重建传输的文件：通过 HTTP 或 SMB 传输的图像、文档和可执行文件会显示为可提取文件。它还会自动从捕获的流量中提取凭据、证书和消息。

请提取关键网络事件的时间戳：首次连接命令与控制服务器、凭据传输、横向移动（向内部主机发起身份验证尝试），以及数据暂存和窃取。这些网络时间戳可以与基于主机的痕迹关联起来，从而构建完整的事件时间线。

哪个 Wireshark 显示过滤器可以只显示 HTTP 流量？

使用 Wireshark 进行网络取证，可以根据 PCAP 证据重建攻击者的网络活动。通过检测命令与控制信标、分析 DNS 隧道、检查明文协议中的凭据窃取、利用 TLS JA3 指纹，以及识别数据窃取模式，可以综合揭示网络层面的攻击证据。