首页/安全/取证与溯源速查/活动空缺与痕迹清理的区分
溯源思路与流程68 条

活动空缺与痕迹清理的区分

空缺时段内若还存在被删除条目、日志轮转记录或其他来源痕迹,则更像采集盲区;多源同时干净才值得评估清理可能。

取证与溯源速查安全更新于 2026-10-12
被删痕迹fls -d 列出已删除条目
对照日志轮转、备份快照中的同期记录

列已删除条目

列已删除条目
fls -o 2048 -d -r -m "/" -z UTC /evidence/disk.dd | head -20
只有主源的时段缺口与该时段全系统静默同时出现,才把它列为疑点。

易错点

  • 已删除条目可能来自更早时期,要结合 inode 时间判断
  • 误把正常轮转当清理是常见偏差

数据来源与参考

  • Sleuth Kit man 手册(fls -d)
  • SANS 反取证痕迹资料
​‌‌​​‌​​​‌‌​‌‌‌‌​‌‌​​​‌‌​‌‌‌​​‌‌​​‌​‌‌‌​​‌‌‌​​​‌​‌‌​‌​​‌​‌‌‌​​​‌​‌‌​‌​​‌​‌‌​​​‌‌​‌‌‌​‌​​​‌‌​‌‌‌‌​​‌​‌‌‌​​‌‌​​​‌‌​‌‌​‌‌‌‌​‌‌​‌‌​‌