OSCAR 网络取证核心方法论
这是本书的灵魂，指导所有后续技术操作的结构化流程。
O
Obtain Information (获取信息)
在触碰键盘前，先理解背景。了解"发生了什么"（事件描述、时间、涉事人员）以及"在哪里发生"（网络拓扑、日志位置、时间同步状态）。
💡 目标：明确这是要恢复业务，还是要进行刑事起诉？这决定了取证的深度。
S
Strategize (制定战略)
规划取证路径。网络证据极易消失，必须进行优先级排序。
- 易失性 (Volatility)： ARP 缓存 > 内存 > 硬盘日志 > 磁带备份。
- 价值 vs 成本： 优先获取获取成本低且价值高的证据。
🔍 策略核心：最小化对生产环境的干扰。
C
Collect Evidence (收集证据)
执行采集。分为被动采集（嗅探流量，不留痕迹）和主动采集（登录设备，会改变时间戳和日志）。
⚠️ 必须记录每一个操作步骤（Chain of Custody）。
A
Analyze (分析)
拼图阶段。核心技术包括：
- 关联 (Correlation)： 结合 IDS 报警、防火墙日志和抓包文件。
- 时间线 (Timeline)： 将所有证据统一到 UTC 时间。
- 证实 (Corroboration)： 孤证不立，寻找多源证据支持。
R
Report (报告)
将技术发现转化为非技术语言。报告必须清晰区分“事实”与“推论”，且必须具备可辩护性（Defensible）。
Ch2: 技术基础与证据来源
OSI 模型
TCP/IP
证据位置
任何网络设备都是潜在的证人。
证据地图：
- 物理层 (Wire/Air)： 最原始、最详尽的证据（全包捕获）。
- 交换机 (Switch)： 包含 CAM 表（MAC地址与端口映射），用于物理定位。
- 路由器 (Router)： 路由表和 ARP 表（IP与MAC映射）。
- DHCP 服务器： 动态IP分配历史，这是关联 IP 到具体设备的关键。
Ch3: 证据获取技术
如何在不破坏现场的情况下获取数据？
展开：主动 vs 被动采集
- 被动采集 (Passive)： 使用 TAP 分流器或交换机镜像端口 (SPAN) 进行抓包。对网络无干扰。
工具：tcpdump, Wireshark, dumpcap。 - 主动采集 (Active)： 登录设备运行命令。会修改系统状态（如最后登录时间）。
策略：优先使用控制台 (Console) 接口而非 SSH/Telnet，以减少网络噪音。
Ch4: 数据包分析 (Packet Analysis)
这是网络取证的显微镜，深入每一个比特位。
分析层次：
- 协议分析： 理解正常协议行为（如 TCP 三次握手），识别异常。
- 数据包分析： 检查头部字段，使用 BPF 过滤器（如 `host 10.0.0.1 and port 80`）定位关注点。
- 流分析 (Flow Analysis)： 关注通信模式。
- 高层分析： 从数据流中提取文件（File Carving）、重组邮件或网页。
实战技巧： 不要试图阅读每一个包。先用统计工具（Protocol Hierarchy）概览，再用过滤器聚焦，最后用 "Follow TCP Stream" 重组内容。
Ch5: 统计流分析 (Statistical Flow Analysis)
当存储空间有限无法进行全包捕获时，流记录（Flow Record）是最佳替代方案。它记录了"谁跟谁在什么时候说了多久"，但不记录"说了什么"。
- 协议标准： NetFlow (Cisco), IPFIX (IETF标准), sFlow (采样)。
- 分析策略：
- 基线对比 (Baselining)： 发现偏离正常流量模式的行为。
- 脏值搜索 (Dirty Values)： 搜索已知的恶意IP或端口。
- 长连接分析： 发现隐蔽通道或数据渗漏。
SiLK 工具集： 作者推荐使用 SiLK 进行大规模流数据的存储和快速查询。
Ch6: 无线网络取证
无线网络的物理层是共享的空气，这使得取证既容易（易于嗅探）又困难（难以物理定位）。
关键证据：管理帧 (Management Frames)
即使数据加密，管理帧（Beacon, Probe Request/Response）通常是明文的。它们暴露了 SSID、MAC 地址和支持的加密套件。
即使数据加密，管理帧（Beacon, Probe Request/Response）通常是明文的。它们暴露了 SSID、MAC 地址和支持的加密套件。
常见攻击取证
- WEP/WPA 破解： 寻找大量的 IVs (初始化向量) 或解除认证 (Deauth) 洪水攻击（为了抓取握手包）。
- Evil Twin (双面恶魔)： 同样的 SSID，但信号强度不同，信道不同。
- 物理定位： 使用三角定位法或信号强度 (RSSI) 估算攻击者位置。
Ch7: 网络入侵检测/防御系统
NIDS 是调查的"触发器"。调查往往始于一条 Snort 报警。
- 检测模式：
- 基于特征 (Signature)： 匹配已知的恶意字节序列（容易被混淆绕过）。
- 协议分析： 检测不符合 RFC 标准的协议行为。
- 行为分析： 流量异常统计。 - 取证价值： IDS 日志通常包含攻击发生的确切时间、攻击者IP和触发规则的数据包载荷片段。
陷阱： 永远不要完全信任 IDS 的警报（存在误报），也不要认为没有报警就是安全的（存在漏报）。
Ch8: 事件日志聚合与分析
日志是分散的拼图碎片，必须聚合才能看到全貌。
时间同步是生杀予夺的关键。
如果服务器 A 和防火墙 B 的时钟差了5分钟，你将无法正确关联攻击路径。调查第一步必须记录 Time Skew。
如果服务器 A 和防火墙 B 的时钟差了5分钟，你将无法正确关联攻击路径。调查第一步必须记录 Time Skew。
- Syslog： 默认使用 UDP 514，不可靠（易丢包）且明文传输。取证时需注意日志可能被篡改或截获。
- 集中化： 只有发送到远程中央日志服务器的日志才具有较高的取证可信度（攻击者难以擦除）。
Ch9: 基础设施设备取证
这些设备不仅是传输通道，更是拥有易失性内存的计算机。
- 防火墙： 记录了允许和拒绝的连接。分析 ACL 配置可以推断网络策略。
- 路由器： 路由表决定了数据包的路径。任何非预期的路由变更可能意味着中间人攻击或流量劫持。
- 交换机： CAM 表（Content Addressable Memory）极其易失，它不仅告诉你 MAC 地址，还告诉你攻击者插在墙上的哪个物理端口。
取证操作： 使用 NetCat 或专用线缆获取配置和状态，避免使用 GUI（会产生大量杂音流量）。
Ch10: Web 代理服务器
在 HTTPS 普及的今天，中间人代理（如 Squid, BlueCoat）是企业监控流量的关键。
Squid 缓存取证：
代理服务器不仅有访问日志（Access Log），还有缓存（Cache）。缓存中可能完整保留了用户浏览过的恶意图片、脚本或文档，即使源网站已经删除了它们。
代理服务器不仅有访问日志（Access Log），还有缓存（Cache）。缓存中可能完整保留了用户浏览过的恶意图片、脚本或文档，即使源网站已经删除了它们。
分析重点： 提取缓存文件，恢复网页原貌，确认用户是否真的看到了特定内容。
Ch11: 网络隧道 (Tunneling)
攻击者使用隧道将一种协议封装在另一种协议中，以穿透防火墙或逃避检测。
常见隐蔽隧道
- DNS 隧道 (如 Iodine)： 在 DNS TXT 或 NULL 记录中编码非 DNS 数据。特征：极高的 DNS 流量，极长且随机的子域名。
- ICMP 隧道 (如 Loki)： 在 Ping 包的 Payload 部分填充数据。
- HTTP 隧道： 将 C&C 流量伪装成普通的 GET/POST 请求。
检测方法： 检查协议头部是否异常，检查 Payload 大小和熵值（加密或压缩数据具有高熵值）。
Ch12: 恶意软件取证
网络取证不逆向代码，而是分析恶意软件的网络行为。
- C&C 通信： 从早期的 IRC 到现在的 HTTP, P2P, 甚至利用社交网络 API。
- Fast-Flux DNS： 恶意域名快速改变对应的 IP 地址（通常是受感染的僵尸主机），以逃避黑名单封锁。
- DGA (域名生成算法)： 每天生成成千上万个随机域名。取证特征是出现大量 NXDOMAIN（域名不存在）响应。
- APT (高级持续性威胁)： 低噪音、长周期的渗透。需要长期的流量基线对比才能发现。