证据副本策略与用途划分
证据副本的常见做法是至少保留两份：一份只读归档、仅用于校验与追溯，一份用于日常分析。这样当分析副本损坏或需要重做时可以回到归档副本重新生成，而原始介质始终不参与任何分析操作。副本越多登记越重要，否则很快分不清哪一份才是基准。
基本信息
| 归档副本 | 只用于校验与追溯，不挂载、不解析 |
|---|---|
| 工作副本 | 用于日常分析，允许损坏后重新生成 |
| 原始介质 | 封存保管，不参与任何分析操作 |
| 登记内容 | 副本标识、来源、用途、存放位置与哈希 |
| 校验要求 | 每份副本生成后计算哈希并写入清单 |
典型使用场景
- 采集完成后按策略生成归档副本与工作副本
- 分析副本损坏或工具误操作后重新生成工作副本
- 多人协作时区分各自使用的副本，避免互相覆盖
- 交接与归档时按清单核对每份副本的去向
- 复现分析结论时从同一份副本出发
副本登记
副本登记
sha256sum master.dd > hashes.txt # 归档副本哈希
cp master.dd work.dd # 生成工作副本
sha256sum work.dd >> hashes.txt # 工作副本哈希一并记录
chmod 444 master.dd # 限制归档副本被改写
cat hashes.txt # 清单：两份副本与各自用途副本与用途
| 副本 | 用途 | 允许的操作 |
|---|---|---|
| 归档副本 | 追溯与重做 | 只读校验，不挂载不解析 |
| 工作副本 | 日常分析 | 允许挂载解析，可随时重新生成 |
| 原始介质 | 最终依据 | 封存保管，不做任何操作 |
| 交接副本 | 交付外部单位 | 按交付要求生成并单独登记 |
副本数量增加后，文件名要能直接看出用途与来源，例如在名称中加入角色标识与生成时间；只靠目录区分，时间一长必然混淆，也会增加误操作归档副本的风险。
工作副本被修改后再拿来做二次分析，得到的结论与初次不可比。需要重做时按策略从归档副本重新生成工作副本，而不是在已经使用过的副本上继续叠加操作。