清单解决什么问题
证据清单（MANIFEST）把每个文件的路径、大小、哈希、来源与采集时间登记在册：移交、分析、归档都以它为准。没有清单，就无法证明手里的副本与现场原件一致。
清单本身也是证据
清单要记录生成时间、操作人与版本，并在采集后、移交前、分析前各校验一次，形成闭环。中途修改清单必须注明原因与时间，否则它的证明力会被自身的不确定性抵消。
基本信息
| 必备字段 | 路径、文件名、大小、sha256、来源、采集时间 |
|---|---|
| 生成方式 | find 收集文件清单，sha256sum 批量计算摘要 |
| 校验节点 | 采集后、移交前、分析前各校验一次 |
| 存放要求 | 清单随证据一起保管，并另存副本 |
| 版本管理 | 每次变更生成新版本并注明原因 |
| 格式 | 纯文本或 CSV，便于工具处理与人工核对 |
典型使用场景
- 采集阶段登记全部证据文件
- 移交时确认接收方拿到的与清单一致
- 分析前确认副本完整性
- 复盘时说明证据来源与流转过程
- 长期归档时用作索引
生成哈希清单与 CSV
生成哈希清单与 CSV
cd /evidence && sha256sum * 2>/dev/null | tee MANIFEST.sha256
find /evidence -maxdepth 2 -type f -printf '%p,%s\n' | sort > MANIFEST.csv
wc -l MANIFEST.csv MANIFEST.sha256
sha256sum -c MANIFEST.sha256 | tail -n 5 # 校验一致性
date -u +%FT%TZ >> MANIFEST.csv # 记录清单生成时间输出逐列读法
| 字段 | 含义 | 正常/异常 |
|---|---|---|
| 文件路径 | 证据在目录中的位置 | 路径变动需在清单中注明原因 |
| 文件大小 | 字节数 | 与来源描述不符说明拷贝或传输异常 |
| sha256 | 内容摘要 | 任何一处改动都会导致校验失败 |
| 采集时间 | 证据获取时间 | 与事件时间线对齐的关键字段 |
清单不含哈希就无法证明与原始一致；只校验一次则不构成闭环，移交后再校验一次才算完整。
大目录生成哈希耗时较长：可以按目录分批生成再合并，但要记录每批的时间点，避免出现无法对应的中间状态。
清单维护要点
- 新增文件立即补录，不延后补记
- 删除文件保留记录并注明原因与时间
- 移交时双方确认文件数量与哈希
- 保存清单的历史版本以备核对
常见清单内容示例
- 磁盘与内存镜像文件及其哈希
- 导出的日志文件与事件通道文件
- 提取的可疑样本与配置文件副本
- 截图、时间线导出与扫描报告