| 收集 | 识别并获取潜在证据数据 |
|---|---|
| 检查 | 评估数据并提取相关内容 |
阶段对应动作
| 阶段 | 典型动作 | 产物 |
|---|---|---|
| 收集 | 镜像、导出日志 | 原始数据与校验值 |
| 检查 | 筛选、关键字与时间过滤 | 待分析数据 |
| 分析 | 关联与假设验证 | 发现与结论草案 |
| 报告 | 记录方法与结论 | 取证报告 |
检查阶段只做提取与筛选，结论性判断留到分析阶段，避免先入为主。
NIST SP 800-86 四阶段模型
该指南把取证工作分为数据收集、检查、分析、报告四个阶段，并强调与事件响应流程配合，用于组织大型事件的分工。
易错点
- 跳过检查阶段直接下结论容易遗漏反证
- 阶段划分是逻辑划分，实际工作中会小范围循环
数据来源与参考
- NIST SP 800-86（Guide to Integrating Forensic Techniques into Incident Response）