目录
流量分析
流量分析是指通过监控和解析网络中的数据包，识别和理解网络流量模式，以检测潜在的安全威胁、异常行为以及网络性能问题的过程。
探针：
设备手机工具，用于采集流量，一般布设在流量节点处，交换机路由器的出口位置，核心交换机旁
以后的流量识别技术框架：
以EDR和NDR为技术支撑、MDR服务支撑，SOAR自动化编排为工作流支撑的XDR体系。EDR（端点）和NDR（网络）、MDR（服务模式）
流量分析流量分析方法
Wireshark、科来
方法：使用开源网络协议分析工具Wireshark捕获和解析网络数据包，进行详细的数据包级分析。
应用：深入分析网络流量中的异常行为、发现恶意软件和攻击模式。
流量日志分析
方法：收集和分析网络流量日志，以识别异常活动和安全事件。
应用：合规性检查、日志审查和威胁检测。
WEB流量分析
大小异常：hacker常使用长参数来构建payload，在分析网络流量时，我们可以通过设置阈值来自动识别这些异常长度的参数。
字符异常：攻击流量常用非法字符来尝试绕过安全设备检测。我们可以在分析过程中对这些非法字符进行检测，并通过正则表达式识别。
报错异常：hacker可能会在HTTP请求中包含错误或缺失的参数。我们可以设置规则和查看返回值来识别这些异常请求。
PHP从零学习到Webshell免杀手册 - FreeBuf网络安全行业门户
注意
大小、长度、时间、格式、特征……
日志&路径
查看Linux的登录日志:
/var/log/message系统启动后的信息和错误日志，是最常用的日志之一
/var/log/secure与安全相关的日志信
/var/log/maillog与邮件相关的日志信息
/var/log/cron与定时任务相关的日志信息
/var/log/spooler与UUCP和news设备相关的日志信息
/var/log/boot.log守护进程启动和停止相关的日志消息
/var/log/wtmp该日志文件永久记录每个用户登录、注销及系统的启动信息
事件ID:
4624：成功登录
4625：注销
4626：远程登录
4628：本地登录
4634：账户锁定
4648：登录失败
4647：网络密码更改
扫一扫
4万+
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
