采集记录要能自解释
采集记录的目标是让别人只看文档就能明白镜像怎么来的：谁、在什么时间、用什么设备、执行了什么命令、得到什么结果、遇到什么异常。这份记录本身是证据链材料的一部分，与镜像、哈希清单一同归档。记录缺失时，后续无论分析得多细致，都没法回答「这份镜像是否忠实复制了源盘」这个最基本的问题。
基本信息
| 基础信息 | 起止时间（UTC）、操作者、设备型号与序列号 |
|---|---|
| 技术信息 | 工具与版本、完整命令、扇区数、错误数、哈希值 |
| 环境信息 | 分析机与只读措施、写阻断器型号（若使用） |
| 异常记录 | 读取错误、中断与续跑、介质异常表现 |
| 存放信息 | 镜像与日志的存储位置、介质编号 |
| 归档要求 | 记录文件与镜像同目录保存，一并计算校验值 |
典型使用场景
- 交付镜像时随附可复核的采集记录
- 采集中途出现问题（断电、坏道）时说明已覆盖范围
- 多人协作时让接手者快速了解采集条件与限制
- 为后续分析提供工具版本与参数，避免字段解释分歧
- 发生争议时作为过程记录支撑证据可采性
- 同类采集复用记录模板，减少遗漏项
记录模板
记录模板
case: CASE-2026-001
operator: 张三
start_utc: 2026-01-02T02:10:00Z
end_utc: 2026-01-02T03:05:00Z
device: /dev/sdb (SN: WD-WXX1234567, 500GB)
writeblock: 硬件写阻断器型号/编号（如使用）
cmd: dc3dd if=/dev/sdb of=sdb.dd hash=sha256 log=sdb.log
sectors: 976773168 errors: 0
sha256(disk): 9f2c...
sha256(image): 9f2c...
storage: 外置介质 CASE-2026-001-A
aftercare: 镜像封存，源盘原样归还（时间与经手人）记录要素逐项
| 要素 | 作用 | 缺失后果 |
|---|---|---|
| 起止时间（UTC） | 界定采集过程时长 | 无法与外围日志（如门禁、登录）对应 |
| 设备序列号 | 唯一标识被采集的物理设备 | 无法证明采集的是哪一块盘 |
| 工具与版本 | 保证过程可复现 | 结果差异无法解释 |
| 完整命令 | 说明参数与处理方式 | 无法判断坏块处理与截断行为 |
| 错误计数 | 说明数据缺口 | 声称完整采集，实际存在未读区域 |
| 哈希值 | 证明完整性 | 无法证明镜像未被改动 |
模板里所有时间用 UTC，与后续时间线的基准保持一致，避免报告里出现两套时间口径。
序列号要肉眼核对并拍照存档，记录文件本身就是证据链材料，禁止事后修改美化。发现笔误应新增更正条目并注明修改时间与原因。