Rede forense envolve o monitoramento e análise de dados digitais. Forensics de rede também inclui a captura de dados para usar como prova em processos judiciais . Tipos de evidências baseadas em rede são: dados de conteúdo completo , dados de sessão , dados estatísticos e dados de alerta. Full- Content Dados

dados Full- conteúdo é uma gravação de toda a informação transmitida através da rede em um ponto e hora específicas. Enquanto isso é , obviamente, o tipo mais informativo de provas, é uma enorme quantidade de dados para analisar provas. - Conteúdo completo de captura de dados requer uma grande quantidade de memória e recursos de rede e, portanto , pode não ser o tipo mais prático de evidências baseadas em rede.
Dados Session

os dados da sessão , também conhecido como conversa ou dados de fluxo , é uma captura do fluxo de dados entre dois sistemas ou usuários. Este tipo de prova é eficaz para verificar as conexões com pessoas mal-intencionadas ou não autorizadas. Os dados da sessão , normalmente inclui evidência dos dados que são transferidos , a identificação das partes envolvidas , bem como a duração e hora da transferência. Os dados da sessão pode identificar sinais de alerta , como sessões de frequência ou duração anormal , quantidades incomuns de dados transferidos e conexões para os protocolos não-padrão .
Dados estatísticos

evidência rede de Estatística destaca os padrões incomuns de transferência de dados e protocolos que são acessados ​​. Em geral, os dados estatísticos olha para toda a rede , em vez de dados de sessão individuais. A evidência estatística inclui o monitoramento de toda a rede ao longo de períodos de tempo específicos para recolher tempos de transferência de dados em excesso. O analista de sistemas pode usar esta informação para identificar altos níveis de dados de entrada ou saída que sugerem uso inadequado da rede . Os analistas também pode monitorar a mistura de protocolos utilizados durante períodos de tempo específicos para localizar padrões incomuns .

Para dar sentido a dados estatísticos , analistas de rede deve começar com um perfil de atividade host. Profiling atividade Anfitrião cria uma linha de base de atividade típica em uma determinada rede . Os analistas usam essa linha de base para comparar os padrões de uso da rede e identificar os desvios do padrão ou perfil normal. Software
Alerta Dados

rede pode ser programado para responder a palavras-chave específicas ou conhecidos endereços IP maliciosos. O software aciona a rede para capturar incidentes destas palavras-chave ou o acesso não autorizado . Esta informação pode ser rastreado para usuários específicos e horários específicos . Alertando software também pode bloquear o acesso a ou a partir dos servidores ou sites inapropriados. No entanto , isto pode levar a "falsos positivos ", ou o bloqueio de locais ou servidores que são inofensivos que desencadeiam o software . Isso pode levar a uma desaceleração do tráfego de rede.