数字取证

证据链与证据完整性

取证工作的第一要务是确保证据的完整性和合法性。对存储介质取证前，必须先制作按位（Bit-by-bit）的镜像副本，对原始介质写保护（使用写保护器/Tableau），所有分析操作都在副本上进行。镜像过程中用 SHA-256 对原始盘和副本分别取哈希并记录，任何后续篡改都会导致哈希不匹配。

这套「证据链」（Chain of Custody）记录需贯穿取证全程：谁在何时接触了证据、如何存储、如何移交。一旦证据链存在空白，法庭可能认定证据无效。这对安全事件调查中证据能否用于诉讼至关重要。[1]

内存取证与云取证的挑战

内存取证在 APT 调查中极为重要：无文件恶意软件（Fileless Malware）仅驻留内存，磁盘上不留任何可扫描的文件。Volatility Framework 是主流开源内存分析工具，可从内存 Dump 中还原进程列表、网络连接、注册表 Hive、已加载模块乃至解密后的加密通信内容。内存的易失性要求取证人员在系统关机前尽快完成 Dump。

云取证面临完全不同的挑战：物理介质不在取证方手中，虚拟机实例可能随时终止（数据丢失），日志分散在 CloudTrail、VPC Flow Logs、S3 Access Logs 等多个服务中，数据跨境存储还带来司法管辖权问题。AWS 等云提供商虽提供快照和日志导出工具，但事先配置日志保留策略是事后取证的前提。

行业标准工具链：EnCase（商业）、FTK（商业）、Autopsy+Sleuth Kit（开源）、Volatility（内存）、Wireshark+tcpdump（网络）。