取证基础与证据保管链
正确处理证据。
取证基础与证据保管链 是 CoddyKit 上的免费 Cyber Security Academy 课时。 这是第 1 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Cyber Security Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Cyber Security Academy 课程共包含 4 节课。
数字取证是什么
数字取证是对数字证据进行有纪律的恢复、保全和分析，确保所得结论经得起审查，包括法庭审查。
它不只是数据恢复。其核心要求是可辩护性：每项操作都必须有记录、可重复且不偏不倚。
- 识别相关证据来源
- 保全证据且不作改动
- 使用经过验证的方法进行分析
- 通过清晰且可复现的报告进行呈现
易失性顺序
响应正在发生的事件时，应按照证据来源从最易失到最不易失的顺序进行收集。消失最快的数据必须最先捕获。
- CPU 寄存器和缓存
- 路由表、ARP 缓存、进程列表、网络连接
- RAM（内存）
- 临时文件系统
- 磁盘
- 远程日志记录和归档介质
RFC 3227 将这一原则编纂成文。过早提取磁盘映像，会让您永久失去实时 RAM 中的证据痕迹。
保管链
保管链是按时间顺序记录的文档，用于说明谁在何时、因何原因接触过证据，以及对证据做了什么。
一个缺口就可能使证据无法被法庭采纳。每次移交都必须记录。
- 谁收集并接收了该物品
- 物品是什么（序列号、哈希值、描述）
- 何时发生了每次移交
- 何处存储了该物品
- 为何发生保管权变更
Custody Log Entry
-----------------
Item ID: EVD-2024-0042
Description: 1TB SATA SSD, S/N WX21A8
SHA-256: a3f1...9c2e
Collected: 2024-06-04 09:12 UTC by J. Doe
Received: 2024-06-04 11:30 UTC by Lab Custodian (signature)
Storage: Evidence locker 3, tamper seal #00871使用哈希保证完整性
加密哈希可以证明证据未发生变化。您需要在采集时计算哈希，并在之后再次计算哈希；数值匹配即可证明完整性。
请使用 SHA-256 这一现代标准。MD5 和 SHA-1 仍会出现在旧版工具中，但它们的抗碰撞性较弱；许多实验室会同时记录两者以进行交叉验证。
# Hash a source device before imaging
sha256sum /dev/sdb
# Hash the resulting image and compare
sha256sum evidence.dd
# Verify two hashes match exactly
diff <(sha256sum source.dd | awk '{print $1}') \
<(sha256sum copy.dd | awk '{print $1}')写保护器
写保护器位于调查人员与证据驱动器之间，允许读取，同时从物理或逻辑上禁止写入。这样可以确保在采集过程中绝不会修改原件。
- 硬件写保护器是串联设备，在法庭相关工作中优先使用
- 软件写保护器会将 OS 设置为只读挂载
即使正常挂载驱动器也可能更新访问时间戳，因此对于原始介质，写保护器是必需的。
# Linux software read-only mount (still prefer a hardware blocker)
blockdev --setro /dev/sdb
mount -o ro,noexec,noload /dev/sdb1 /mnt/evidence
# Confirm read-only state
blockdev --getro /dev/sdb # 1 = read-only只使用副本，不使用原件
黄金法则是：分析经过验证的副本，保全原件。原件应放入证据存储中，并尽可能少地接触。
最佳实践是至少制作两个副本：一个用于分析的工作映像，以及一个保持不变的归档主副本。两者的哈希值都必须与源数据匹配。
文档与记录
同步记录本身也是证据。请在执行操作时记录，而不要事后凭记忆补写。
- 为每项操作记录时间戳（使用 UTC 以避免歧义）
- 拍摄现场和设备状态
- 记录工具名称和版本
- 记录任何异常或错误
如果没有写下来，在法庭上就等同于没有发生。
法律授权与范围
在操作任何内容之前，请确认法律授权：搜查令、同意、内部授权或适用法规。超出范围可能损害整个案件，并使调查人员承担法律责任。
取证受司法管辖区约束。跨境数据、员工隐私预期和数据保护法（GDPR、KVKK）都会限制您可以收集哪些数据以及如何收集。
可重复性与工具验证
结论必须具备可重复性：另一名鉴定人员使用经过验证的工具分析相同证据时，应得出相同结论。
因此，实验室会使用可靠且受版本控制的工具（在可能的情况下使用经过 NIST CFTT 测试的工具），并记录工具版本。自定义或未经审核的脚本会削弱可辩护性。
取证工作站
专用且隔离的工作站可以防止交叉污染以及证据意外通过网络泄露。
- 与外部网络物理隔离或配置严格的防火墙
- 用于制作镜像的目标介质已净化（已擦除并验证）
- 经过验证的工具集（Autopsy、Sleuth Kit、Volatility、Wireshark）
- 访问日志完备
# Wipe and verify a target drive before storing an image on it
shred -vzn 1 /dev/sdc # overwrite once with zeros
sha256sum /dev/sdc # baseline of sterilized media证据的长期完整性
完整性不仅必须在采集时能够证明，在整个存储期间也必须如此。请定期重新计算哈希，并在每次传输后重新计算，将结果与采集基线进行比较。
- 物理介质上使用防篡改封条
- 访问受控且有日志记录的证据存储
- 每次保管移交时记录哈希
如果后续哈希与原始哈希不一致，则将证据视为已受损，其调查结果也会受到质疑。
# Re-verify a stored image against its acquisition baseline
echo 'a3f1...9c2e evidence.dd' | sha256sum -c -
# evidence.dd: OK -> integrity intact快速检查
请检验您对采集顺序的理解。
回顾
您已经学习了构建经得起质证的取证工作的基础：
- 易失性顺序决定采集顺序
- 证据保管链记录每次移交
- 哈希计算（SHA-256）证明完整性
- 写保护器保护原始介质
- 始终在已验证的副本上工作
- 文档记录、法律范围和可重复性使证据能够被采纳
接下来：将这些原则用于实际磁盘镜像和工件恢复。
常见问题解答
「取证基础与证据保管链」课时是免费的吗？
是的 — 「取证基础与证据保管链」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Cyber Security Academy 课程的其余内容，请升级到 CoddyKit PRO。 Cyber Security Academy 课程共包含 4 节课。
「取证基础与证据保管链」这节课中我会学到什么？
正确处理证据。 你通过在浏览器中直接运行的动手代码来练习 Cyber Security Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Cyber Security Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Cyber Security Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 1 节课，共 4 节。
「取证基础与证据保管链」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Cyber Security Academy 课中编写并运行代码吗？
能。每节 Cyber Security Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。
此课程中的所有课时
- 取证基础与证据保管链
- 磁盘成像与文件系统分析
- 使用 PCAP 进行网络取证
- 时间线分析与报告