溯源系列：溯源（一）之溯源的概念与意义、溯源（四）之流量分析-Wireshark使用

---

一. 溯源（一）之溯源的概念与意义

溯源的概念与意义

攻击溯源作为安全事故中事后响应的重要组成部分，通过对受害资产与内网流量进行分析一定程度上还原攻击者的攻击路径与攻击手法，还原攻击路径有助于修复漏洞与风险避免二次事件的发生，并且通过反制手段溯源攻击者的身份。溯源分析在安全岗位中应用的很广，将攻击知识转换成防御优势,如果能够做到积极主动且有预见性，就能更好地控制后果。

溯源的概念

我们大家都知道护网，攻防演练，每年的护网在招聘的时候都分初级，中级和高级，初级负责看监控设备，上报攻击流量，中级是负责研判，通俗一点就是确定攻击是不是恶意的或者这个警告是不是误报，那高级就是负责溯源攻击的IP是来自哪里的

溯源就是根据已有的线索，攻击方式以及攻击特征等通过技术手段反查攻击者身份或是组织信息，在我们日常接触的项目中，也都需要我们去掌握这一项技能，比如客户的服务器出现了，我们需要去排查，去溯源漏洞或者病毒文件的位置，去保障客户的网络安全，是学安全方向上的人才必须掌握的一项技能

我们常常需要溯源的信息有这些:

攻击者的姓名/ID,攻击IP,地理位置，QQ，IP地址所属公司，IP地址关联域名，邮箱，手机号，微信/微博/src/id证明，人物照片，跳板机（可选），关联攻击事件

溯源应用的场景

1、护网蓝队

在HW过程中，蓝队的防守和反制是一个重点，在发现资产受