| 识别 | 定位潜在数字证据的位置与类型 |
|---|---|
| 收集 | 确定并记录证据所在介质与范围 |
四个过程
| 过程 | 关注点 | 输出 |
|---|---|---|
| 识别 | 设备与数据源清点 | 证据源清单 |
| 收集 | 介质与数据范围确认 | 现场记录 |
| 获取 | 镜像或提取并校验 | 镜像与校验值 |
| 保全 | 封存、保管与访问控制 | 保管链记录 |
标准强调过程可追溯，而不只关注单一技术手段。
ISO/IEC 27037 四个过程说明
该标准把数字证据处理分为识别、收集、获取、保全四个过程，每个过程都有对应的记录要求，用作流程自检的骨架。
易错点
- 把四个过程混在一起执行会造成记录缺失
- 保全要求贯穿全程，不只是采集结束后的封存
数据来源与参考
- ISO/IEC 27037:2012（数字证据识别、收集、获取与保全指南）