Protecting and Preserving Evidence 保护和保存证据

数字取证(Digital Forensics)的核心实践 —— 在调查事件时,正确处理脆弱且易失的数字证据,让证据可信、可追溯、法庭可用。

为什么这件事这么严肃

• 错一步证据就污染了 —— 即使你知道发生了什么,法庭可能不认
• 证据采集顺序错就丢了 —— 见 Order of Volatility
• 没保管链就无人信 —— 中间被人动过证据就废

核心原则

1. 最小干扰(Minimal Impact)

• 取证操作本身不能改变原始系统
• 用 Write Blocker(写阻断器)读磁盘,确保只读不写
• 内存抓取用专门工具,不要随便跑程序污染内存

2. 完整性证明(Integrity)

• 采集时计算原始数据的哈希值(SHA-256)
• 任何后续操作都基于副本,原始数据封存
• 任何时候能证明副本跟原始一致(再算一次哈希对比)

3. 保管链(Chain of Custody)

• 每个动过证据的人、什么时候动的、做了什么 —— 全部记录
• 物理证据用证物袋 + 签名封条
• 数字证据用专门的取证管理系统

4. 易失性顺序

• 先采集最易消失的(内存、网络状态)
• 再采集稳定的(磁盘、日志)

5. 法律授权

• 在动证据之前确保有合法依据(搜查令、内部调查授权)
• 越权取证证据无效 + 自己可能违法

实操工具

• EnCase / FTK —— 商业取证套件,法庭最认
• The Sleuth Kit / Autopsy —— 开源
• Volatility —— 内存取证
• Magnet AXIOM —— 移动+电脑全平台

跟事件响应的关系

事件响应(Incident Response)的早期阶段就要考虑取证 —— 如果只想”赶紧恢复业务”,可能直接销毁了未来法律行动的证据。“恢复”和”取证”经常是矛盾目标,要提前定好优先级。