事件响应中如何保留证据

在事件响应（Incident Response）过程中，**证据保留（Evidence Preservation）**的核心目标是：确保证据的完整性、真实性、可追溯性，使其在后续分析、内部调查甚至司法鉴定/诉讼中具备可信度。

下面按“原则 → 步骤 → 常见证据类型 → 注意事项”的结构说明。

一、证据保留的基本原则

1. 最小干扰原则

   • 尽量在不破坏原始系统的前提下获取证据
   • 优先使用只读、镜像、快照等方式

2. 链式保管（Chain of Custody）

   • 谁、在什么时间、用什么方式、从哪台设备获取了什么证据
   • 每一次交接、拷贝、分析都要记录

3. 不可变性

   • 原始证据不修改
   • 所有分析在副本上进行

4. 可追溯性

   • 时间同步（NTP）
   • 操作日志完整

二、事件响应中的证据保留步骤

1. 准备阶段（事前）

• 制定证据保留流程与模板
• 准备工具：
  • 写保护器（硬盘只读锁）
  • 取证U盘（已校验哈希）
  • 镜像工具（dd、FTK Imager、EnCase）
• 明确角色与授权

2. 发现与确认阶段

• 记录：
  • 发现时间
  • 发现人
  • 初步现象
• 冻结相关系统（如可能）：
  • 暂停非必要服务
  • 不立即关机（避免丢失内存证据）

3. 证据收集（关键）

（1）易失性证据（优先）

内存、网络连接、进程等关机即失：

• 内存镜像（如 Linux 的 lime、Windows 的 DumpIt）
• 网络连接：netstat -ano、防火墙会话
• 登录会话：who、query user
• 当前进程：ps、tasklist

✅ 操作前记录系统时间并截图

（2）非易失性证据

• 磁盘镜像（完整或关键分区）
• 日志：
  • 系统日志
  • 安全日志
  • 应用日志
  • 审计日志
• 配置文件
• 恶意文件样本

（3）网络证据

• 防火墙 / IPS / WAF 日志
• 流量抓包（PCAP）
• DNS / Proxy 日志

4. 证据固化

• 对每份证据计算哈希（MD5 / SHA256）
• 记录：
  • 文件名
  • 哈希值
  • 获取时间
  • 获取人
  • 工具版本

示例：

file: mem_dump.raw
sha256: 9f86d081884c7d659a2feaa0c55ad015a3bf4f1b2b0b822cd15d6c15b0f00a08
time: 2026-01-15 10:32
by: IR-Team-A

5. 存储与保管

• 原始证据离线存储
• 访问受控（加密、权限）
• 多副本异地备份
• 保留周期合规（如等保、GDPR）

三、常见错误（务必避免）

• 直接在原始系统上分析
• 关机后再取内存
• 不记录时间/操作人
• 哈希值未校验
• 使用未验证的U盘

四、简易证据记录模板

如果你需要，我也可以：

• 给你一套 Windows / Linux 取证命令清单
• 按 等保2.0 / ISO 27035 整理证据要求
• 写一份 事件响应证据保留SOP模板

你更关注哪一类？