攻击发生后，先别急着重装设备或清理账号：这些操作可能覆盖关键记录。攻击事件后的日志取证与源头追踪，应先保存容易丢失、取得成本低的材料，再投入时间分析复杂关联。以下五项工作适用于不同规模的组织和个人环境；日志类型、留存时长与权限配置会影响实际步骤。
1. 先保全现有记录：成本低，优先级最高
先列出可能相关的系统和时间范围，记录事件发现时间、时区、受影响账号及设备。保存端点安全软件、操作系统、安全设备、远程接入服务、DNS解析和身份认证平台的日志；不要只截图，也不要覆盖原始文件。
- 记录每份日志的来源、导出时间、时区和导出人。
- 将原始导出件与分析副本分开保存，限制写入权限。
- 为导出文件计算 SHA-256 哈希并登记结果，之后分析副本。
- 确认平台保留期限；若日志即将轮换，优先导出相关时段。
这一步建立证据保全基础。若设备仍在运行，是否关机应结合业务影响和易失信息价值判断，不宜一律断电。
2. 拼出时间线：低至中等成本，先找关键转折
把告警、登录、文件变化、进程启动和配置修改统一换算到同一时区，标注设备时钟可能存在的偏差。攻击事件后的日志取证不必一开始通读所有记录，可先围绕首次异常、权限变化和影响扩大三个节点筛选。
例如，Windows 安全日志中的事件 ID 4624 和 4625 分别涉及成功与失败的登录记录，4688 可记录进程创建，但是否产生相应记录取决于审计策略。它们是线索，不等于单条日志就能证明攻击者身份或恶意行为。
3. 关联账号、设备与来源：中等成本，避免把地址当人
将账号登录记录与设备名、终端安全告警、远程接入记录、DHCP 地址分配记录及 DNS 查询进行交叉核对。公网地址可能对应共享网络、代理或云服务，动态地址也会变化；单凭一个来源地址，通常无法确认具体操作者。
- 确认异常登录使用的账号、认证方式和时间。
- 查找同一时段该账号关联的设备及远程接入会话。
- 核对设备上的进程、文件或安全告警是否与时间线吻合。
- 记录无法解释的空档，区分已证实事实与推测。
这种身份关联能缩小调查范围，但应保留多个解释，避免将共享出口或合法运维活动误判为源头。
4. 追查横向移动与入口：中高成本，扩大证据面
若一台设备出现异常，检查它是否访问其他主机、创建新账号、调用远程管理工具或更改权限。重点比对相邻设备上的认证、进程和安全告警；同时回看邮件网关、外部远程接入、软件更新记录等可能入口。先查与已知时间线直接相关的范围，再逐步扩大，减少无效检索。
攻击事件后的日志取证在这一阶段需要明确“入口证据”和“后续活动证据”的区别：前者可能指向账号被盗或暴露服务，后者说明影响如何扩展，两者未必能单独证明最初来源。
5. 补齐缺失记录并形成结论：成本最高，按影响决定
如果关键设备没有日志、记录已过期，或事件涉及多个环境，再考虑集中检索备份、第三方服务审计记录，必要时请有资质的事件响应人员协助。成本较高的逐机检查和取证镜像，应优先用于影响重大、证据易灭失或可能需要正式审查的情形。
最终报告分列确认事实、合理推断、尚未确认事项和证据缺口；注明每项判断依据、时间范围及限制。攻击事件后的日志取证与源头追踪应以可复核证据为边界，不把“最早发现的异常”直接写成“攻击源头”。
常见问题
日志应该保存多久？
没有适用于所有环境的固定期限。依据风险、存储能力、合规要求和日志轮换机制制定策略；事件发生后先保全相关时段。
能否只凭登录来源地址追查个人？
通常不能。还需结合账号、设备、认证记录及地址分配或远程接入信息，且结论要说明不确定性。
日志不完整还值得调查吗？
值得。用现存记录建立时间线，标出缺口，再查其他独立来源；缺失本身不能证明记录被恶意删除。
按上述顺序开展攻击事件后的日志取证与源头追踪，可以先用低成本动作固定证据，再把调查资源投向最可能影响结论的环节。
