analyzing-network-traffic-for-incidents

Files (4)

• LICENSE
• SKILL.md
• api-reference.md · references/
• agent.py · scripts/

SKILL.md (first lines)

# 针对安全事件的网络流量分析

## 适用场景

- SIEM 告警显示异常网络流量模式，需要深入调查
- 怀疑存在 C2 信标（beaconing），需通过数据包级别分析加以确认
- 需要从网络证据中量化数据外泄的规模或目标地址
- 需要通过网络连接追踪系统间的横向移动
- IDS/IPS 告警需要数据包级别验证以确认或排除

**不适用于**基于主机的取证分析（进程执行、文件系统制品）；此类场景请使用终端取证工具。

## 前置条件

- 全量数据包捕获（PCAP）基础设施或按需捕获能力（网络分路器、SPAN 端口）
- 分析工作站上已安装 Wireshark，并掌握相应显示过滤器知识
- 已部署 Zeek（原 Bro）用于生成网络元数据（conn.log、dns.log、http.log、ssl.log）
- 从网络设备收集 NetFlow/IPFIX，用于流量分析
- 网络架构图，展示 VLAN 布局、防火墙位置和监控点
- 威胁情报（threat intelligence）源，用于关联观察到的网络失陷指标（IOC）

## 工作流程

### 步骤 1：捕获或获取网络流量

获取调查所需的相关流量数据：

**实时捕获（事件仍在进行时）：**
```bash
# 在特定接口上按主机过滤进行捕获
tcpdump -i eth0 -w capture.pcap host 10.1.5.42

# 捕获发往特定外部 IP 的 C2 流量
tcpdump -i eth0 -w c2_traffic.pcap host 185.220.101.42

# 带滚动轮转的捕获（每个文件 1GB，保留 10 个）
tcpdump -i eth0 -w capture_%Y%m%d%H%M.pcap -C 1000 -W 10
```

**从现有基础设施获取：**
- 从全量数据包捕获设备导出 PCAP（Arkime/Moloch、ExtraHop、Corelight）
- 从 Zeek 集群拉取调查时间段内的 Zeek 日志
- 从网络设备导出 NetFlow 数据，用于高层流量分析

### 步骤 2：识别 C2 通信

检测命令与控制流量模式：

**信标检测（Zeek conn.log）：**
```bash
# 提取具有规律间隔的对外连接
cat conn.log | zeek-cut ts id.orig_h id.resp_h id.resp_p duration orig_bytes resp_bytes \
  | awk '$4 ~ /^185\.220/' | sort -t. -k1,1n -k2,2n
```

**Wireshark 信标分析：**
```
# 过滤发往可疑 C2 IP 的流量
ip.addr == 185.220.101.42

# 过滤非标准端口上的 HTTPS 流量
tcp.port != 443 && ssl

# 过滤可疑域名的 DNS 查询
dns.qry.name contains "evil" or dns.qry.name matches "^[a-z0-9]{32}\."

# 过滤 HTTP POST（常见 C2 上线方式）
http.request.method == "POST" && ip.dst == 185.220.101.42
```

信标特征识别要点：
- 连接之间存在规律性时间间隔（例如每 60 秒，抖动（jitter）10-15%）
- 请求和响应中数据包大小保持一致
- HTTPS 连接发往与合法 CDN 或服务无关的外部 IP
- DNS 查询子域熵值高（DNS 隧道（DNS tunneling）指标）

### 步骤 3：分析横向移动流量

追踪攻击者在内部系统间的移动路径：

```
横向移动检测关键协议：
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
SMB (TCP 445):     PsExec、文件共享访问、勒索软件传播
RDP (TCP 3389):    远程桌面会话
WinRM (TCP 5985):  PowerShell 远程访问
WMI (TCP 135):     远程命令执行
SSH (TCP 22):      Linux 横向移动
DCE/RPC (TCP 135): 基于 DCOM 的横向移动
```

**横向移动的 Wireshark 过滤器：**
```
# SMB 横向移动
smb2 && ip.src == 10.1.5.42 && ip.dst != 10.1.5.42

# 来自失陷主机的 RDP 连接
tcp.dstport == 3389 && ip.src == 10.1.5.42

# Kerberos 票据请求（潜在的票据传递（Pass-the-Ticket））
kerberos.msg_type == 12 && ip.src == 10.1.5.42

# NTLM 认证（潜在的哈希传递（Pass-the-Hash））
ntlmssp.auth.username && ip.src == 10.1.5.42
```

### 步骤 4：检测数据外泄

识别从网络中未经授权的数据传输：

```
# 在 Zeek conn.log 中识别大量出站传输
cat conn.log | zeek-cut ts id.orig_h id.resp_h id.resp_p orig_bytes \
  | awk '$5 > 100000000' | sort -t$'\t' -k5 -rn

# DNS 隧道检测（高量 TXT 查询）
cat dns.log | zeek-cut query qtype | grep TXT | cut -f1 \
  | rev | cut -d. -f1,2 | rev | sort | uniq -c | sort -rn | head

From killvxk/cybersecurity-skills-zh, Apache-2.0.

More from killvxk/cybersecurity-skills-zh