3. 网络协议与流量分析面试题

在SOC分析师面试中，协议类问题几乎不会停留在“TCP三次握手是哪三次”这种记忆层面，面试官更想确认的是：当流量里出现异常时，你能否把协议行为、日志证据和攻击假设串成一条可验证的链路。本章围绕TCP/IP、HTTP/HTTPS、DNS、DHCP、ARP五类高频协议，按“正常基线—异常表现—排查动作—判断依据”的方式展开，并给出可直接在面试中复述的分析话术。

一、先建立“正常基线”，异常才有参照

面试中常见的失分点是直接背异常特征，却说不清正常长什么样。以TCP为例，正常一次HTTP短连接的生命周期是：SYN → SYN/ACK → ACK → 数据传输（PSH/ACK）→ FIN/ACK → ACK。SOC分析师需要记住几个可观测的基线指标：单个客户端对同一目标的并发SYN数量、单位时间内SYN与ACK的比例、RST出现的位置、以及连接持续时间分布。这些指标不需要精确到毫秒，但要有量级概念。例如，一个办公终端在10秒内对同一Web服务器发起超过200次SYN且几乎不完成握手，就属于明显偏离基线，应优先怀疑端口扫描或SYN Flood。

DNS的正常基线同样重要：一次递归查询通常包含客户端→本地递归解析器→权威服务器的往返，响应时间在几十毫秒量级，查询类型以A、AAAA、CNAME、HTTPS为主。若出现大量TXT、NULL、CNAME长链或超长子域名，就要考虑DNS隧道或数据外传。

二、TCP/IP层：扫描、洪泛与隧道

TCP/IP层的异常在SOC里通常表现为三类：扫描、拒绝服务、隐蔽通道。排查时不要只看单一告警，而要把流量方向、标志位组合、目标端口分布和时间窗口放在一起看。

以一次典型的SYN扫描为例，假设内网主机10.0.20.15在30秒内对10.0.30.0/24网段的1024个地址的22、80、443、3389端口发起连接。在流量中可观察到：SYN包数量约3000，SYN/ACK回复比例极低，大量RST来自目标或中间设备。此时排查动作是：先在防火墙或NDR中按源IP聚合，确认目标端口是否呈递增或固定列表；再查该主机进程与登录日志，判断是运维扫描器还是失陷主机；最后看是否有后续成功握手和登录行为。判断依据是：若扫描后紧跟SMB或RDP的成功认证，风险等级应从“扫描”升级为“横向移动”。

对于TCP隧道，常见特征是长连接、双向流量接近对称、端口非标准但载荷熵值高。面试中可这样描述：观察到某主机与外部IP建立持续数小时的443连接，但TLS握手后没有正常的证书链和SNI，且上下行字节数长期维持在1:1附近，应怀疑DNS over HTTPS、SSH隧道或自定义加密通道。此时需要结合进程、DNS查询和证书信息交叉验证。

三、HTTP/HTTPS：从明文特征到加密侧信道

HTTP异常在SOC中相对容易观察，重点是请求行、Host、User-Agent、URI长度和响应码。例如，某内网服务器在凌晨出现大量POST请求，URI为/upload.php，Content-Length异常大，User-Agent为默认的python-requests，响应码集中为200。这可能是WebShell上传或数据外传。排查时应提取完整请求头，检查是否有X-Forwarded-For伪造、Cookie中是否含Base64长串，并对照Web日志确认上传文件是否落地。

HTTPS的难点在于加密后看不到内容，但侧信道仍然可用。可观察的字段包括：SNI、证书颁发者与有效期、JA3/JA3S指纹、TLS版本、加密套件、以及包长序列。举例来说，若某终端使用JA3指纹与已知Cobalt Strike默认配置匹配，且SNI为随机域名、证书为自签名，就应重点排查。面试中要强调：HTTPS不是黑盒，元数据和流量形态足以支撑初步研判。

四、DNS：隧道、DGA与解析劫持

DNS异常排查的核心是“查询频率、域名结构、响应内容”三件事。DNS隧道通常表现为：同一客户端对同一域名的高频TXT或A查询，子域名长度超过50字符，且字符集接近Base32/Base64。例如，观察到aGVsbG8td29ybGQ.example.com这类编码特征，且每秒钟查询数十次，基本可判定为隧道行为。排查动作是提取查询日志，统计唯一子域名数量和平均长度，再检查该主机的进程与网络连接。

DGA域名则表现为：大量随机字符串域名、同一算法生成的相似长度、NXDOMAIN比例高。判断依据是：若某主机在短时间内产生数百个NXDOMAIN且域名熵值高，应怀疑恶意软件。解析劫持则表现为：同一域名在不同时间返回不同IP，或返回内网地址，需结合DHCP和ARP表判断是否被中间人篡改。

五、DHCP与ARP：内网身份与中间人

DHCP异常在SOC中常被忽略，但它直接关系到终端身份。典型异常包括：同一MAC在短时间内多次请求不同IP、出现 rogue DHCP Server 分配错误网关、或DHCP Offer中DNS指向外部恶意地址。排查时应在交换机上启用DHCP Snooping，并对比DHCP日志与资产台账。若发现某终端获取的网关MAC与合法网关不一致，应立刻检查ARP表。

ARP异常的经典表现是ARP欺骗：同一IP对应多个MAC，或网关MAC频繁变化。排查动作是：在受影响主机上执行arp -a，观察网关IP是否对应多个MAC；在交换机上查看MAC地址表与ARP表是否一致；必要时抓包观察是否有大量免费ARP或ARP Reply。判断依据是：若网关MAC被篡改，且流量出现异常跳转，应判定为中间人攻击，并隔离受影响VLAN。

六、面试可交付：协议异常排查速查表

以下速查表可直接用于面试作答或日常研判，字段均为SOC场景中真正必要的观测项。

面试作答时，建议用一句话收束：协议异常不是孤立告警，而是“流量形态+日志证据+资产上下文”三者的交叉验证。能说清正常基线、能指出关键字段、能给出下一步验证动作，比背下所有攻击特征更有说服力。