攻击溯源取证

攻击溯源取证回答三个问题：攻击者怎么进来的、在里面做了什么、有没有把数据带走。这三个答案决定整改方向，也决定企业在报案、监管沟通、客户与合作方通报时能不能拿出站得住的材料。

取证内容

• 证据固定：按取证流程采集磁盘镜像、内存镜像、边界设备与服务器日志，记录采集时间、哈希与责任人，保证证据链可追溯。
• 入侵入口判定：核查外网暴露服务、VPN 与 RDP 账号、边界设备与中间件漏洞、钓鱼邮件、第三方运维通道与供应链环节。
• 攻击时间线还原：从初始访问、权限提升、横向移动、凭据窃取、防护对抗、数据打包与外发，到最终投放加密程序，逐环节标注时间与证据来源。
• 数据外泄判定：结合出网流量记录、压缩打包痕迹、云存储与传输工具使用痕迹、攻击者泄露站点公布情况，判断外泄可能性与涉及数据范围。
• 报告输出：出具溯源报告，区分「已证实」「高可能性」「无法确认」三类结论，附证据索引与技术附录。

边界说明

溯源结论受证据完整性限制。日志未开启、保留周期过短、被攻击者清除，或主机已被重装的情况下，部分环节无法复原，我们会在报告中直接标注为无法确认，而不是补一个看起来完整的故事。我们也不做攻击者身份的实名指认——公开情报可以支持家族与团伙归属判断，但个人身份认定属于侦查机关职权。报告可用于向公安机关报案与内部合规留档；是否立案与最终认定由主管机关决定。