标签：阿里云 香港 服务器 日志 分析 溯源 实操 指南 tcpdump nginx access.log ELK zeek suricata 云审计 VPC 流日志

1.准备与取证基本原则 - 在开始之前，先确保时间同步：sudo timedatectl set-ntp true；记录当前时间并开启只读快照（云盘或dd镜像）。 - 禁止在原始磁盘上做写操作；若必须分析，先做镜像：sudo dd if=/dev/vda bs=4M of=/mnt/forensic/vda.img conv=sync,noer