四阶段模型
NIST SP 800-86 是面向事件响应的取证指南，它把取证工作划分为四个阶段：数据收集、检查、分析、报告。这个划分的最大价值是把「提取」和「下结论」明确分开——检查阶段只做筛选与提取，禁止提前做定性判断，避免先入为主的结论误导整个分析方向。
与响应流程配合
该指南强调取证不是独立环节，而是与事件响应流程并行：响应决定要查什么、什么时候查，取证保证查的过程可复现、结论可验证。大型事件中常按这四个阶段分工，不同角色负责不同阶段，交接产物就是阶段之间的接口。
基本信息
| 适用平台 | 跨平台，方法与工具无关 |
|---|---|
| 阶段一 收集 | 识别并获取潜在证据数据，产出原始数据与校验值 |
| 阶段二 检查 | 评估数据并提取相关内容，产出待分析的筛选结果 |
| 阶段三 分析 | 关联与假设验证，产出发现与结论草案 |
| 阶段四 报告 | 记录方法与结论，产出取证报告 |
典型使用场景
- 大型事件分工：按阶段划分角色与交付物，减少沟通成本
- 方法说明写作：报告的方法章节可按四阶段组织结构
- 质量检查：核对每个阶段是否有对应产物，避免跳步
- 培训与复盘：用四阶段解释「为什么不能直接下结论」
- 与委托方沟通：把当前处于哪个阶段、下一步做什么讲清楚
各阶段产物示例
各阶段产物示例
收集：
disk-image-01.dd / memory-host1.raw
hashes-01.txt（每个原始数据的 SHA256）
检查：
timeline-raw.csv（从镜像与日志中提取的时间条目）
files-of-interest.csv（按关键字与时间窗筛出的文件清单）
分析：
findings-draft.md（结论草案，含支撑证据引用）
hypotheses.md（假设与验证结果，包含被否证的假设）
报告：
report-final.md / report-final.pdf（方法与结论）
appendix-custody.md（保管链摘要）阶段与动作对应
| 阶段 | 典型动作 | 产物 |
|---|---|---|
| 收集 | 镜像、导出日志、记录校验值 | 原始数据与哈希清单 |
| 检查 | 关键字筛选、时间过滤、提取子集 | 待分析数据 |
| 分析 | 关联、假设验证、补采 | 发现与结论草案 |
| 报告 | 记录方法、结论与局限 | 取证报告与附录 |
阶段划分是逻辑上的划分，实际工作中会在分析发现缺口时回到收集阶段补采，这是正常的循环；关键是每次循环都要留下记录，说明补采的原因与范围。
被否证的假设同样要记录：报告只写成立的结论会让人误以为分析过程没有排除其他可能，反而削弱结论的可信度。