Краткое содержание
- Определите интерфейс, протокол, временное окно и вопрос инцидента до сбора трафика.
- Ограничьте доступ к полезной нагрузке, сохраняйте целостность записи и удаляйте материалы после завершения расследования.
Microsoft Network Monitor относится к более раннему поколению инструментов анализа пакетов, но его практический урок остаётся актуальным. Трассировка может раскрыть учётные данные, личный контент и несвязанные сеансы, при этом по-прежнему не захватывая трафик на другом пути. Операторам следует получить полномочия, синхронизировать часы, захватывать минимально полезный объём и фиксировать фильтры и хеш-суммы. Следующее полезное доказательство — воспроизводимый вывод, который связывает пакеты с симптомом и может быть проверен без открытия всего набора данных.
Наблюдаемость ценна, когда сбор отвечает на чётко поставленный вопрос, а не превращается в постоянное наблюдение.
