| 被删痕迹 | fls -d 列出已删除条目 |
|---|---|
| 对照 | 日志轮转、备份快照中的同期记录 |
列已删除条目
列已删除条目
fls -o 2048 -d -r -m "/" -z UTC /evidence/disk.dd | head -20只有主源的时段缺口与该时段全系统静默同时出现,才把它列为疑点。
空缺时段内若还存在被删除条目、日志轮转记录或其他来源痕迹,则更像采集盲区;多源同时干净才值得评估清理可能。
| 被删痕迹 | fls -d 列出已删除条目 |
|---|---|
| 对照 | 日志轮转、备份快照中的同期记录 |
fls -o 2048 -d -r -m "/" -z UTC /evidence/disk.dd | head -20