迎检日志证据包：一次准备、快速出示

检查人员通常要求现场调取指定时间段日志：提前准备证据包与调取演示路径，可显著缩短现场核查时间。

证据包清单

1 采集范围说明与拓扑示意（哪些源、到哪去）
2 留存策略说明（期限、轮转、归档）及配置截图
3 查询演示脚本：按时间 / IP / 账号 / 事件 检索示例
4 完整性证明：只追加属性、集中副本、哈希与签名
5 审阅记录：最近三次审阅报告与处置闭环
6 调档流程：审批单样例与恢复记录

查询演示建议在测试环境先走一遍并留存输出，避免现场因权限或命令生疏而耽搁。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌