擷取點決定你看得到什麼
封包分析工具可顯示時間、位址、協定與可解析內容。它看到的是擷取介面取得的封包，不是整個網路的全貌。交換器、鏡像設定、過濾器及封包遺失都可能限制觀察。
擷取本身也可能收集敏感資料，因此範圍、授權、保留期限與分享方式需要事先決定。本課程使用合成摘要，不擷取他人的流量。
可見中繼資料不等於解密內容
TLS 為通訊端點之間提供保護。被動觀察者通常仍能看到部分連線資訊，例如 IP、時間與封包大小；是否能看見其他名稱資訊則依協定與設定而異。看到加密封包不代表能讀出密碼或完整應用內容。
加密也不保證端點可信。若使用者把資料交給惡意網站，加密連線仍可能正常保護那段傳輸。因此網路內容保護與對方身分、應用授權要分別檢查。
例子：只能看到大小與時間
合成紀錄有 12:00:00 的 TLS 連線與三個封包大小，沒有解密資料或應用日誌。
可以描述連線時間與觀測到的大小，不能直接聲稱使用者上傳某份文件。檔案內容與動作類型需要其他授權取得的證據。
判斷：將應用內容標為未知，保留擷取位置與條件。
紙上練習：可見與不可見
使用合成資料，不啟動封包擷取。
- 寫下三欄：時間、IP 位址、TLS 負載。
- 將時間與位址標為觀測值，負載標為未解密。
- 補一句擷取點可能漏看流量的原因。
預期結果
可觀察的欄位與未知內容分開；沒有把中繼資料當成文件內容。
自行檢核
一份沒有 DNS 封包的紀錄，是否證明主機沒有使用名稱解析？
結束與清理
保存表格即可；沒有擷取檔需要清除。