| 大小 | 镜像字节数 vs 设备容量 |
|---|---|
| 扇区 | blockdev --getsz 对比日志记录 |
核对
核对
ls -l /evidence/sdb.dd
sudo blockdev --getsz /dev/sdb
sudo blockdev --getsize64 /dev/sdb
sed -n '1,10p' /evidence/sdb.log核对结果写进采集记录表，与分析阶段的问题回溯挂钩。
镜像质量核对项
镜像完成后核对大小、扇区数、错误数与时间记录四项，任何一项异常都会影响后续分析结论的可靠性。
易错点
- 设备与镜像大小不一致时要解释截断或补读情况
- 日志中的错误计数别遗漏
数据来源与参考
- util-linux（blockdev 手册）
- NIST SP 800-86（采集质量）