证据与报告57 条

现场快照：便携采集与输出清单

在无法立即镜像的场景用便携采集工具按预案抓取关键痕迹（事件日志、注册表、浏览器、执行痕迹），输出目录与清单固定。

工具示例	KAPE 的采集（triage）模式
输出	按工件分目录 + 采集日志

采集示例

KAPE.exe --tsource C: --tdest D:\triage --tflush --target !SANS_Triage
Get-ChildItem D:\triage -Recurse -File | Measure-Object -Property Length -Sum

采集模式与目标名以所用版本为准，正式采集前先在测试机演练一遍。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌