| 时机 1 | 采集完成：源盘与镜像各记一次 |
|---|---|
| 时机 2/3 | 分析结束、归档返还前复核镜像哈希 |
记录与复核
记录与复核
sha256sum /evidence/sdb.dd | tee -a /evidence/hashes.txt
# 复核
sha256sum -c /evidence/hashes.txt只写不验证的哈希清单没有意义，复核记录要带时间与执行人。
哈希校验的三个时机
哈希至少要在三个节点核对：采集完成时、分析结束时、证据返还或归档前，任何一次不一致都要暂停流程查原因。
易错点
- 源盘哈希在采集后通常无法复测（已归还），务必当场记录
- 复核失败先排查存储介质与文件是否被替换
数据来源与参考
- NIST SP 800-86（完整性校验）
- SANS 证据固定资料