现场用什么方式取证
现场测评通过访谈、配置核查与工具测试三种方式取证：访谈问的是流程、职责与实际操作，核查看的是配置、策略与记录，测试验证的是防护措施是否真的生效。三者互相印证，任一种方式发现的说法与证据矛盾，都会影响判定，所以安排接受访谈的人员必须熟悉实际情况。
现场取证方式
| 方式 | 做什么 | 配合要点 |
|---|---|---|
| 访谈 | 问制度、流程、职责与日常操作 | 对口人员到场，如实回答 |
| 配置核查 | 登录设备查配置、策略与日志 | 准备受控账号与只读权限 |
| 工具测试 | 扫描或验证防护是否有效 | 约定窗口与限速，避免影响生产 |
| 记录查看 | 查阅变更单、台账与演练报告 | 材料按目录预置，能快速调阅 |
现场日程模板
现场日程模板
# 一天半的常见安排
第一天上午：访谈（安全负责人、系统管理员、审计员、外包接口人）
第一天下午：主机与数据库配置核查
第二天上午：网络与安全设备、边界策略核查
第二个夜间窗口：工具测试与验证（如需要，提前书面授权）配合要点
- 统一接口人：对外一个口径，避免多人答复不一致
- 人员到场：被访谈人员要了解实际操作，不能由不熟悉的人代替
- 账号可控：为核查开立的临时账号要登记，结束后立即回收
- 当日确认：每天收工前确认当日核查项与遗留问题，避免事后争议
- 窗口错峰：测试类活动避开业务高峰与批量作业时段
工具测试需要书面授权并约定时间窗口与限速策略：扫描或验证性操作可能触发告警甚至影响性能，提前沟通能避免生产事故。
访谈回答与配置证据矛盾会产生新的问题项：例如口头说已禁用默认账号，现场登录却能进，这类矛盾比单纯缺失更难解释。