样本归档的规范做法
恶意样本的处置规范是三件事：先算哈希固定，再密码打包，然后登记来源主机、路径、时间与操作人；全过程禁止直接运行样本。对外提交或传输前必须加密打包，裸样本会被网关拦截，也可能在中间环节造成感染。
基本信息
| 哈希 | sha256sum 或 Get-FileHash -Algorithm SHA256 |
|---|---|
| 打包 | zip -P 密码 或 7z 带密码压缩 |
| 登记要素 | 来源主机、原始路径、发现时间、操作人、哈希 |
| 存储 | 隔离样本库，访问需授权 |
| 禁止行为 | 在分析机或办公机上直接运行样本 |
| 传输 | 加密压缩后走带外或专用通道 |
典型使用场景
- 发现可疑文件后立即固定证据
- 向厂商或情报平台提交样本
- 团队内部分析前统一样本分发方式
- 保留样本用于后续家族判定与规则验证
- 事件归档时把样本与哈希一并入库
- 对比多台主机上的样本是否一致
- 满足合规要求下的证据留存
固定哈希并加密打包
固定哈希并加密打包
sha256sum /evidence/suspect.bin > /evidence/suspect.bin.sha256 # 先固定哈希
stat -c '%y %s %n' /evidence/suspect.bin # 记录时间与大小
cp -a /evidence/suspect.bin /evidence/samples/ # 保存原始副本
zip -P infected /evidence/suspect.zip /evidence/suspect.bin # 密码打包
unzip -l /evidence/suspect.zip # 核实包内内容
sha256sum /evidence/suspect.zip # 归档包也留哈希登记字段
| 字段 | 记录内容 | 用途 |
|---|---|---|
| SHA256 | 样本哈希 | 唯一标识，可跨平台检索 |
| 来源主机 | 主机名与地址 | 判断同批主机是否也有同一文件 |
| 原始路径 | 发现位置 | 推断传播方式：上传目录还是临时目录 |
| 发现时间 | 精确到分钟 | 作为事件时间线的锚点 |
| 操作人 | 处理者姓名 | 责任可追溯 |
哈希要从原始文件计算，而不是从压缩包里的副本算：传输或解压过程都可能改变文件，顺序必须是「先固定、再流转」。
不要把样本放在日常办公机或分析机上直接打开：即使不算执行，预览类软件也可能触发漏洞，或直接被网关拦截。