摘要

  • 采集前应明确接口、协议、时间窗口和事件问题。
  • 限制载荷访问，保持捕获完整性，并在调查结束后删除材料。

Microsoft Network Monitor 属于较早一代的数据包分析工具，但其运营教训仍然适用。一次跟踪可能暴露凭证、个人内容和无关会话，同时遗漏另一条路径的流量。运营方应取得授权，同步时钟，只捕获最小必要范围，并记录过滤条件与哈希。下一项有效证据，是可复现的发现：它能把数据包与症状相连，且复核时无需打开整个数据集。只有采集回答了明确问题，可观测性才有价值，而不是变成永久监控。

来源