| 前四块 | 概述 / 证据清单 / 方法与环境 / 时间线 |
|---|---|
| 后三块 | 发现 / 结论 / 附录（哈希、命令、工具版本） |
目录骨架
目录骨架
1. 概述（委托方、目标、范围、时间窗）
2. 证据清单（编号、来源、哈希、保管状态）
3. 方法与工具（版本、参数、环境）
4. 时间线（关键节点表 + 附件）
5. 发现（按问题逐条）
6. 结论与局限
7. 附录（哈希清单、命令记录、IOC）章节顺序可调，但“发现要能回指证据、结论要能回指发现”这条链路不能断。
取证报告骨架
报告结构按委托问题组织：概述、证据清单、方法与环境、时间线、发现、结论、附录七块，读者按此顺序能完整复核结论。
易错点
- 附录比正文长很常见，但正文必须自洽
- 每个发现都要挂证据编号
数据来源与参考
- NIST SP 800-86（报告结构）
- SANS 报告写作资料