网络取证
导语：安全事件发生后，靠记忆复盘不可靠。网络取证用日志、流记录、抓包、配置快照重建时间线，定位入口、路径、影响。它是定责与改进的依凭。
一、为什么要关注
- 无证据则无法定责与索赔；
- 复盘靠猜易重复踩坑；
- 等保与合规要求事件可追溯。 取证把"事故"变成"教材"。
二、核心原理（多厂商客观对比）
取证依赖多源证据：Syslog、NetFlow、镜像抓包、配置版本，需统一时间基准（见 NTP）。
| 厂商 | 取证数据 | 命令风格特点 | 适用场景 |
|---|---|---|---|
| 华为 | 日志/流/镜像 | 多源协同 | 大型企业 |
| 新华三 H3C | 同类 | 类华为 | 园区网 |
| 锐捷 | 日志/抓包 | 类 Cisco | 教育/企业 |
| 思科 | 日志/ERSPAN | 经典生态 | 跨国部署 |
| 迈普 | 国产取证 | 信创体系 | 政务内网 |
| 信创国产 | 各有实现 | 自主可控 | 内网溯源 |
三、落地做法/步骤（各厂商命令语法略有差异，以下为通用思路）
- 事件发生时保全日志/流/抓包，避免覆盖；
- 用统一时间线对齐各源；
- 还原攻击路径：从哪进、到哪去、动了什么；
- 比对配置快照，找异常变更；
- 产出报告并驱动整改。 通用建议：平时就要把取证数据留存够久，事发才"有米下锅"。
四、网络如何为数据存储/备份提供安全底座
五、常见误区
- 日志留存太短，事发已覆盖；
- 各设备时间不同步，时间线错乱；
- 只存不分析，真出事来不及取。
六、小结与行动建议
取证 = 多源留存 + 时间对齐 + 路径还原 + 驱动整改。把存储备份域的取证数据备足，是数据资产可证明安全的关键。