证据链构建原则是什么
证据链的核心是每个结论都向下追到证据，每份证据都记录来源、获取时间、获取方式与存放位置（含哈希）。链条完整时，换一个人也能独立复核同一结论；链条断了，结论只能算个人判断，不能写进正式报告。
基本信息
| 用途 | 让结论可复核、可追溯、可交接 |
|---|---|
| 链条要素 | 结论 → 证据 → 来源 → 获取方式 → 存放位置 |
| 必填字段 | 获取时间、操作人、哈希值 |
| 适用场景 | 事件报告、内部复盘、监管或司法场景 |
典型使用场景
- 多人协作取证，需要统一的记录口径
- 报告评审与交接，需要他人复核结论
- 复盘发现结论与证据不一致，需要回溯当时的判断依据
- 向监管、客户或司法机关提交材料
- 证据数量大时，用链条结构组织证据索引
链条书写示例
链条书写示例
结论: 03:12 存在远程执行行为
└ 证据: 计划任务创建事件（任务名 Updater，事件 ID 1234）
└ 来源: web-1 任务计划日志导出（2026-10-12 04:05 采集）
└ 存放: evidence/web-1/tasks.csv（SHA256 见证据台账）
# 链条中每个环节都要能独立验证，缺环即视为结论不完整证据台账字段
| 字段 | 说明 | 常见缺失 |
|---|---|---|
| 证据编号 | 唯一标识，便于被结论引用 | 编号重复或干脆没有编号 |
| 来源 | 主机名、日志名、原始路径 | 只写「服务器日志」，无法定位 |
| 获取方式 | 命令、工具及版本 | 未记工具版本，他人无法复现 |
| 时间 | 采集时间与日志时间分列 | 两者混写导致时序错误 |
| 哈希 | 采集后立即计算并登记 | 事后补算，无法排除改动 |
链条中如果存在推测环节（例如推断使用了某工具），必须显式标注为推断，与有直接证据的环节分开书写。
证据采集后立即计算哈希并登记，比事后补算有意义得多；时间基准（时区、各主机时钟偏差）也要写进台账，否则跨主机时间线无法对齐。