证据清单的编制方法
证据清单把一号一物落到表格：每一项记录编号、名称、来源主机、获取方式、大小与校验值。报告的引用、移交时的核对以及后续复盘都依赖它，因此清单要在采集的当下随做随记，而不是等全部结束再回忆整理。清单中的哈希与镜像文件旁的哈希文件必须能够相互验证，任何一处对不上都要在移交前查清，等到事后才发现差异将无法判定出问题的环节。
基本信息
| 字段 | 编号、名称、来源主机、获取方式、大小、哈希 |
|---|---|
| 主要用途 | 移交核对、报告引用、复盘追溯 |
| 常见格式 | CSV 或表格，字段固定便于脚本核对 |
| 更新时机 | 采集当时随记，完成后复核一遍 |
典型使用场景
- 移交证据时逐项核对数量与校验值
- 报告引用证据时使用清单编号而非文件名描述
- 案件结束时核对是否有未归还或未归档的副本
- 多方取证汇总时合并清单并去重
- 复盘时统计采集方式与耗时的实际分布
清单片段
清单片段
编号,名称,来源,方式,大小,哈希
CASE01-DISK-001,系统盘镜像,PC-023,dd+e01,120G,3f2a...
CASE01-LOG-012,认证日志,/var/log,打包压缩,24M,9b71...
CASE01-MEM-002,内存镜像,PC-023,采集工具,16G,c40d...
# 哈希列统一使用 SHA-256，并在采集后与入库前各记录一次清单字段读法
| 字段 | 作用 | 缺口后果 |
|---|---|---|
| 编号 | 唯一引用键，贯穿报告与保管链 | 引用关系无法建立 |
| 来源 | 记录从哪台设备哪个路径取得 | 多方取证时无法区分同名文件 |
| 方式 | 说明采集手法与参数 | 结果无法复现 |
| 哈希 | 校验完整性与一致性 | 无法证明介质未被改动 |
清单更新要及时，采集间隙就把条目写进去；事后集中补录最常见的结果是漏项，而且漏掉的往往是现场临时追加的那几份材料。
清单与镜像文件旁的哈希文件互为验证：一侧改动而另一侧未同步时，移交前就能暴露出来，这正是清单价值最直接的体现。
只记录文件名不记录来源，在多方取证汇总时会出现同名文件无法区分的情况，只能回到介质上逐份重算哈希，成本极高。