证据存储的要求
证据存储的核心要求是：至少两份副本，其中一份离线或异地；访问受控并保留访问记录；定期重算哈希做完整性校验。保管期按合规与诉讼时效要求确定，不能事件一结束就随手清理。
基本信息
| 副本要求 | 原始件 + 工作副本 + 离线副本 |
|---|---|
| 访问控制 | 最小授权，并保留访问审计记录 |
| 完整性 | 定期重算哈希并与清单比对 |
| 保管期 | 按合规与诉讼时效要求确定 |
| 介质要求 | 离线副本与生产网隔离 |
| 入库记录 | 入库时间、操作人、校验结果 |
典型使用场景
- 事件取证结束后把材料归档
- 向外部机构提交前准备副本
- 长期保留以备审计与诉讼需要
- 更换或迁移介质时校验完整性
- 团队之间移交案件材料
- 演练中验证证据保管流程是否可用
- 定期巡检发现介质的静默损坏
同步离线副本并校验
同步离线副本并校验
rsync -aH /evidence/ /mnt/offline_evidence/ # 同步到离线介质
cd /evidence && sha256sum -c MANIFEST.sha256 2>/dev/null | tail -n 5 # 校验清单
find /evidence -type f | wc -l # 文件总数
find /evidence -type f -mtime -1 | wc -l # 近一天是否有变更
ls -la /mnt/offline_evidence/ | head -n 10 # 离线副本内容要求与做法
| 要求 | 做法 | 为什么 |
|---|---|---|
| 两份以上副本 | 原始件与工作副本分开存放 | 单份介质损坏即永久失去 |
| 离线或异地 | 与生产网隔离的介质 | 勒索与横向移动影响不到 |
| 访问受控 | 最小授权加访问审计 | 防止内部泄露或误改 |
| 定期校验 | 重算哈希比对清单 | 及时发现静默损坏 |
| 确定保管期 | 按合规与诉讼时效设定 | 满足审计与法律需要 |
工作副本用于日常分析，原始件只读保存：所有分析动作都在副本上做，避免污染唯一一份原始证据。
离线副本要真正做到离线：如果只是同机房另一块磁盘，在勒索软件与横向移动面前保护力度非常有限。