9、网络流量调查与日志分析全解析

网络流量调查与日志分析全解析

1. 网络安全与日志分析的重要性

网络面临着源源不断的攻击和风险，外部威胁通常来自互联网，可分为拒绝服务（DoS）攻击、利用受害者网络攻击其他网络、威胁或篡改信息这三大类。而内部威胁可能来自合法访问者或越权者。因此，法医专家必须了解网络的工作原理以及如何访问日志数据。对内外攻击的监控应是一项主动的工作，但许多攻击往往在发生后才被发现，这就需要检查日志文件，只有通过审查审计和日志文件，才能分析和重建攻击过程。然而，很多法医专家未能充分利用日志和审计数据，可能是因为不了解如何获取这些信息，或者由于读取大量日志条目耗时过长而最初忽略了它们。

2. OSI 模型概述

1984 年，国际标准化组织开发了开放系统互连（OSI）模型，该模型通过指定特定的层次结构，为网络操作提供了有序的框架，各层基于相邻层的输出构建，至今仍被用作描述网络环境操作的指南。
- 物理层（Layer 1） ：负责位级通信，定义了每个位的持续时间以及传输和接收方式。若未使用加密，该层可能包含大量敏感信息。
- 数据链路层（Layer 2） ：负责在将数据发送到物理层之前进行格式化和组织，将数据组织成帧。它由逻辑链路控制（LLC）和媒体访问控制（MAC）两个子层组成。
- 网络层（Layer 3） ：关注逻辑寻址和路由，是互联网协议（IP）的所在层，尽力将数据报从源传输到目的地。
- 传输层（Layer 4） ：确保数据传输的完整性，处理端到端的错误恢复和流量控制。传输层协议包括面向连接的 TCP