可疑连接的交叉核查步骤

连接列表里出现陌生远端地址，不等于主机已被入侵。交叉核查的关键，是把“何时连接、由谁发起、传输了什么”分开验证：地址归属只能提供线索，程序识别也可能不完整，单凭其中一项不足以作出定性判断。

先确认观测对象。选择承载目标流量的网卡，记录可疑连接的远端地址、出现时段和流量变化，再按地址或协议缩小观察范围。若条件允许，可先观察主机空闲时的连接状态，再打开怀疑相关的程序或网站，比较连接是否随操作出现、消失或明显变化。这样的前后对照，比孤立地看一条连接更能说明问题，但同时出现仍不等于存在因果关系。

接着核对连接与程序的对应关系，并查看远端域名、ASN 和地理位置信息是否与预期用途相符。这里要避免两种误判：把陌生归属直接当作恶意证据，或因为服务识别结果看起来正常就停止排查。更可靠的做法是记录每条线索的来源及其不确定性，重点检查同一连接能否在不同视图中被一致地定位。

如果连接仍无法解释，再留存对应时段的 PCAP，用 Wireshark 或 tshark 检查具体会话；包级分析用于复核通信细节，而不是替先前的推测寻找印证。整个过程应限定在有权监控的主机和网络内。抓包文件可能含有访问目标、内网地址或敏感内容，留存、共享和删除都应遵守相应的数据处置要求。