通信ログからPCの特定方法がわかりませんでした。

例えば、APの通信ログでNAPT変換前のIPアドレスが192.168.0.8の日時から、14:26:45～17:31:25まででポートスキャンが行われたと思い、感染したPCはDHCPのサーバログからPC301だけと判断しました。

しかし、192.168.0.8からわかる感染したPCはPC101とPC301でした。

なぜPC101も感染した可能性があると判断できるのですか？

14:26:45の時点で、192.168.0.8のIPアドレスをリースされていたのは、
DHCPのログから、10:45:38のPC101だからです。

解説ありがとうございます！

事前にPC101が192.168.0.8のIPアドレスを保持していたからという解釈で大丈夫ですか？

>事前にPC101が192.168.0.8のIPアドレスを保持していたからという解釈で
>大丈夫ですか？
はい。その解釈であっています。