证据收集与保管链
学习符合法证要求的证据收集、哈希处理以及保管链维护方法。
证据收集与保管链 是 CoddyKit 上的免费 Cyber Security Academy 课时。 这是第 2 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Cyber Security Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Cyber Security Academy 课程共包含 4 节课。
证据为何重要
在事件响应期间收集的数字证据可能用于法律诉讼、HR 处置或监管审查。必须按照适当流程收集、保存和记录证据，以维持其可采性和完整性。
数字证据类型
证据类别：
- 易失性证据：RAM 内容、运行中的进程、网络连接——重启后会丢失
- 非易失性证据：磁盘镜像、日志文件、数据库记录
- 网络证据：数据包捕获、NetFlow 记录
- 应用程序证据：访问日志、审计日志、电子邮件
优先收集易失性证据
在关闭系统电源前收集易失性数据：
# Memory dump (Linux):
dd if=/dev/mem of=/external/memory.raw
# Or use LiME kernel module for accurate acquisition
# Running processes:
ps aux > /external/processes.txt
netstat -anp > /external/connections.txt
lsof > /external/open_files.txt磁盘镜像
创建存储介质的取证镜像（逐位复制）。使用写保护器，防止对原始介质进行任何修改。使用哈希进行验证：
dd if=/dev/sda of=/external/disk.img bs=4M
sha256sum /dev/sda > /external/disk.sha256
sha256sum /external/disk.img
# Hashes must match — proves image integrity写保护器
写保护器是一种硬件或软件设备，可在创建镜像期间阻止向证据介质写入任何内容。如果没有写保护器，镜像过程本身可能会修改访问时间戳或其他元数据，从而污染证据。
保管链
保管链记录处理过证据的每个人、处理时间以及处理原因。其内容包括：
- 证据标识符和描述
- 收集日期/时间
- 收集人（姓名、签名）
- 存储位置
- 转移记录（接收人、接收时间）
证据保存
保存证据：
- 将原件存放在密封并贴有标签的证据袋中
- 只对经过验证的副本进行操作
- 存放在安全且受访问控制的位置
- 记录哈希值，以验证完整性
- 绝不要使用原始证据介质进行操作
日志保存
日志通常是最有价值的证据。应保存：
# Copy system logs before rotation:
cp -r /var/log /external/logs_$(date +%Y%m%d)
# Export from SIEM: export events for affected timeframe
# Preserve firewall logs, DHCP logs, DNS query logs
# Note: logs may be deleted by attacker — check SIEM for gaps法律保全令
预计会发生诉讼或监管调查时，应发布法律保全令——要求保存所有可能相关记录的指令。这会暂停正常的数据保留计划。未能保存数据可能导致证据毁损指控。
取证工具
常见的取证工具：
- Autopsy/Sleuth Kit——磁盘取证
- Volatility——内存分析
- Wireshark——数据包捕获分析
- FTK Imager——磁盘镜像
- SIFT Workstation——基于 Ubuntu 的取证发行版
移动设备证据
移动设备需要特殊处理：启用飞行模式以防止远程擦除，并放入法拉第袋以阻断信号。使用移动取证工具（Cellebrite、Oxygen Forensic），这些工具能够识别移动文件系统和应用程序数据结构。
快速检查：证据收集
为什么必须先于其他证据类型收集易失性内存（RAM）？
课程回顾
证据收集必须遵循适当流程，才能在法律程序中被采纳。应首先收集易失性数据（RAM、进程、连接）——这些数据会在重启后消失。创建磁盘镜像时使用写保护器。维护保管链文档。对所有内容计算哈希，以证明完整性。法律保全令会暂停数据删除。只对经过验证的副本进行操作，绝不要使用原件。
常见问题解答
「证据收集与保管链」课时是免费的吗？
是的 — 「证据收集与保管链」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Cyber Security Academy 课程的其余内容，请升级到 CoddyKit PRO。 Cyber Security Academy 课程共包含 4 节课。
「证据收集与保管链」这节课中我会学到什么？
学习符合法证要求的证据收集、哈希处理以及保管链维护方法。 你通过在浏览器中直接运行的动手代码来练习 Cyber Security Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Cyber Security Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Cyber Security Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 2 节课，共 4 节。
「证据收集与保管链」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Cyber Security Academy 课中编写并运行代码吗？
能。每节 Cyber Security Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。
此课程中的所有课时
- IR 生命周期：准备、识别、遏制
- 证据收集与保管链
- 根除、恢复与经验总结
- 撰写事件报告