威胁溯源与取证分析，是还原攻击过程、定位攻击来源的核心手段。本章节带你掌握日志分析、内存取证、流量溯源的方法，结合系统日志、内存数据、流量报文，完整还原攻击路径，为安全事件定性与溯源提供技术支撑。
日志溯源分析
分析防火墙、Web 服务器、系统日志，从日志中还原攻击时间线与操作路径。
内存取证基础
使用 Volatility 工具提取进程、网络连接、恶意代码信息，还原主机被入侵后的内存状态。
流量溯源与 PCAP 分析
从流量数据中定位攻击报文，还原攻击交互过程，识别攻击 IP 与工具特征。
主机取证与数据恢复
学习主机硬盘数据恢复、系统文件分析方法，提取攻击相关的痕迹证据。
攻击路径还原与建模
结合日志、内存、流量数据，完整还原攻击路径，构建攻击时间线模型。
威胁情报与 IP 溯源
结合威胁情报平台，追踪攻击 IP、域名的来源与关联攻击事件。
取证规范与证据保全
了解电子取证的规范流程，学习证据固定、保全与整理方法，保障证据有效性。
溯源报告编写与输出
学习安全事件溯源报告的编写，清晰呈现攻击过程、证据与处置建议。