活动空缺与痕迹清理的区分
时间线上出现一段什么记录都没有的区间时，有两种解释：采集盲区（该时段没有可用来源，或日志恰好缺失）与痕迹清理（有人删除了记录）。区分的关键是看同一时段是否存在其它来源的旁证：有被删除条目、有轮转记录、有外部审计日志时更接近盲区；多个来源同时干净，才值得评估清理的可能。
基本信息
| 盲区特征 | 单一来源缺失，其它来源仍有正常活动 |
|---|---|
| 清理特征 | 多来源同时中断，并伴随删除残留或时间断层 |
| 旁证来源 | 被删除条目、日志轮转记录、外部设备日志、备份快照 |
| 辅助命令 | fls -d 列出已删除条目，核对缺口前后的最后活动 |
| 结论要求 | 两种可能都要在报告中列出，并写明判定依据 |
典型使用场景
- 解释时间线上某段时间为何是空白
- 判断是否存在针对记录的清理行为
- 在结论中区分证据缺失与事实缺失
- 借助快照或备份补齐缺口时段的记录
- 为调整后续取证范围提供依据
列已删除条目与旁证
列已删除条目与旁证
fls -o 2048 -d -r -m '/' -z UTC /evidence/disk.dd | head -20 # 列出已删除条目
ls -l --time-style=long-iso /var/log/ | head -20 # 看日志轮转与时间断层
journalctl --list-boots | tail -10 # 启动记录，确认是否有中断
# 与外部来源对照：边界设备日志、集中日志平台、备份快照两类成因对照
| 观察点 | 采集盲区 | 痕迹清理 |
|---|---|---|
| 缺失范围 | 单个来源或某类记录缺失 | 多个来源同时中断 |
| 被删条目 | 与缺口无关的常规删除 | 缺口前后集中出现删除 |
| 轮转记录 | 轮转可解释覆盖或截断 | 无轮转解释，文件被直接截断 |
| 旁证来源 | 其它来源仍有正常活动 | 外部来源也不一致或缺失 |
单个主源没有记录，不能直接推断为痕迹被清理；只有主源缺口与该时段全系统静默同时出现，才把它列为疑点，并优先去外部来源寻找旁证，再决定是否深挖。
把证据缺失写成事实缺失属于严重表述问题：“日志中没有记录”和“该时段没有任何活动”含义完全不同。报告中必须分开表述，并说明各自的依据与已知局限。