| 命令 | tar --xattrs -cpzf |
|---|---|
| 清单 | tar -tvf 与 sha256sum |
打包
打包
tar --xattrs --numeric-owner -cpzf /mnt/ev/logs_$(hostname)_$(date +%Y%m%d%H%M).tar.gz /var/log /etc/ssh
sha256sum /mnt/ev/logs_*.tar.gz | tee /mnt/ev/logs.sha256打包前先按目录列出将纳入的文件范围，避免混入无关大文件。
在线证据打包与清单核对
把日志与配置打包留存时保留权限与时间戳，并同步生成文件清单与哈希，保证后续校验与来源可追溯。
易错点
- 未加 -p 时权限可能丢失，影响后续复现
- 打包动作本身会更新访问时间，对时间戳敏感的目录要评估
数据来源与参考
- GNU tar 手册（--xattrs 与 -p 选项）
- NIST SP 800-86（证据采集）