快速取证采集
快速取证（triage）只采集关键工件而不做整盘镜像，几分钟内就能拿到登录、执行、持久化与浏览器痕迹，适合多台主机的批量排查。常见实现是按目标清单把文件复制到输出目录，同时保留一份采集日志，记录复制过程与错误。
基本信息
| 工具示例 | KAPE 的采集模式、其它按清单复制的采集脚本 |
|---|---|
| 输出结构 | 按工件分类的目录，另附采集日志 |
| 关键参数 | --tsource 来源、--tdest 目标、--target 目标清单 |
| 常见范围 | 事件日志、注册表、浏览器数据、最近文件、计划任务 |
| 记录内容 | 采集时刻、主机名、清单名称与版本、文件计数 |
| 验证方式 | 采集完成后统计文件数与总体积，与清单比对 |
典型使用场景
- 多台主机批量排查时先取关键工件
- 现场时间受限、无法做整盘镜像时
- 与内存采集配合完成快速响应
- 分析前先确认数据是否覆盖关键时段
- 作为后续全量采集的筛选依据
最小示例
最小示例
# 按目标清单采集到输出目录（参数以所用版本为准）
KAPE.exe --tsource C: --tdest D:\triage --tflush --target !SANS_Triage
# 统计采集结果的文件数与总体积
Get-ChildItem D:\triage -Recurse -File | Measure-Object -Property Length -Sum
# 记录主机信息与采集时刻
hostname
Get-Date
# 对采集目录生成哈希清单
Get-ChildItem D:\triage -Recurse -File | Get-FileHash -Algorithm SHA256 | Export-Csv D:\triage\hashes.csv -NoTypeInformation项目与要求
| 项目 | 说明 | 要求 |
|---|---|---|
| 目标清单 | 决定采集哪些工件 | 记录清单名称与版本 |
| 采集日志 | 记录复制过程与错误 | 作为数据完整性依据 |
| 输出目录 | 按工件分类存放 | 保留原始相对路径结构 |
| 文件计数 | 实际采集到的文件数 | 与清单和日志核对 |
| 时间范围 | 数据覆盖的时段 | 决定能回答哪些问题 |
采集模式名称与目标清单会随工具版本变化，正式采集前先在测试机上跑一遍确认参数可用。
采集前先记录主机名、系统时间与时区：时间基准错误会让整批工件的时间字段失去意义。
快速采集不包含磁盘未分配空间与完整文件系统时间线，结论范围必须限定在已采集的工件上。