可复现的标准
可复现不是“我这边能跑”，而是换一个人拿着报告和证据副本，按附录里的命令与参数能复现出同样的关键结论。为此报告要补齐三件套：镜像或数据的哈希、工具名称与版本、完整的命令行与参数（含默认值）。交付前做一次抽查：由复核人随机挑两条发现，独立重放，复现不了就先补方法细节，而不是先解释差异。
基本信息
| 适用平台 | 所有取证交付物（Windows / Linux / 网络侧通用） |
|---|---|
| 三件套 | 证据哈希、工具版本、命令行与参数 |
| 附加项 | 运行环境（操作系统与版本）、依赖工具版本、时区设置 |
| 抽查方式 | 复核人随机挑 2 条关键发现独立重放 |
| 记录位置 | 报告附录：哈希清单、命令清单、工具版本清单 |
典型使用场景
- 向客户或第三方交付报告时提供可验证的分析过程
- 内部质量门禁：交付前由他人抽查关键结论
- 事件复盘时确认某个结论是否依赖特定工具版本
- 同类事件复用方法：附录命令清单可直接作为 SOP 素材
- 司法或仲裁场景下回应“如何得出该结论”的质询
复核抽查
复核抽查
# 1) 校验证据副本与报告中的哈希一致
sha256sum -c appendix-hashes.txt | head
# 2) 记录并核对工具版本（版本差异会改变解析结果）
psort.py --version; fls -V; ewfinfo -V
# 3) 按附录命令清单重放一条关键发现
sed -n '1,20p' appendix-commands.txt
# 4) 记录运行环境与时区，避免因环境差异产生分歧
date; cat /etc/timezone 2>/dev/null要素对照
| 要素 | 做法 | 常见失败 |
|---|---|---|
| 证据哈希 | 附录列出算法与值，交付时复核 | 只给 MD5 或未说明算法 |
| 工具版本 | 记录名称与版本号 | 版本升级后结果不同却未标注 |
| 命令与参数 | 原样保存，含默认参数 | 省略默认参数导致结果差异 |
| 运行环境 | 操作系统、时区、依赖组件 | 跨环境重放时结果不一致 |
| 抽查记录 | 记录抽查人、时间与结论 | 抽查无记录，无法证明做过 |
依赖在线服务的步骤（云端沙箱、威胁情报查询）要注明离线替代方案与查询时间：服务内容随时间变化，不注明采集时间的结果无法复核。
抽查失败通常暴露的是方法描述不完整，而不是结论错误。先补细节再交付，别让复核者靠猜。