Resumo
- Definir interface, protocolo, janela e pergunta do incidente antes de coletar tráfego.
- Limitar acesso ao conteúdo, preservar integridade e excluir ao encerrar a investigação.
Microsoft Network Monitor é de outra geração, mas a lição operacional permanece. Um traço pode expor credenciais, conteúdo pessoal e sessões alheias e ainda perder outro caminho. É preciso obter autoridade, sincronizar relógios, capturar o mínimo e registrar filtros e hashes. A próxima prova é um achado reproduzível que ligue pacotes ao sintoma e possa ser revisto sem abrir todo o conjunto. Observabilidade vale quando responde uma pergunta definida, não quando vira vigilância permanente.
