取证的第一原则是别破坏现场
应急响应的本能动作——重启设备、断电、重装系统、清理文件——恰好会销毁最有价值的证据。内存中的进程与网络连接、登录会话、临时日志、控制器缓冲区中的记录，都只存在于设备运行状态中，一次重启就可能全部消失。因此取证的顺序是：先判断哪些信息易失，优先保全；对主机做镜像而不是在原件上直接操作；对控制器的任何读取动作先确认对生产的影响；全过程记录谁在什么时候做了什么，形成可追溯的操作链条。这些记录本身就是证据的一部分。
基本信息
| 易失证据 | 内存与进程、网络连接与会话、登录状态、临时日志与缓存 |
|---|---|
| 非易失证据 | 磁盘文件与系统日志、配置文件、控制器程序与参数、监测点留存的流量与日志 |
| 保全顺序 | 先易失后非易失，先现场状态后离线分析 |
| 取证记录 | 操作人、时间、动作、工具、结果，形成链条记录并妥善保管 |
| 对生产的影响 | 对控制器与现场设备的读取操作需确认影响，必要时经供应商确认后执行 |
| 外部协作 | 涉及监管或执法时按约定口径配合，保留原始副本 |
取证步骤
- 现场状态记录：拍照记录设备外观、指示灯、连接关系与现场条件
- 判断易失信息：确认内存、会话与临时日志是否仍在，尽早保全
- 隔离但不破坏：在无法保全时优先做逻辑隔离而非断电重启
- 主机镜像：对受影响的工控主机做完整镜像，后续分析在副本上进行
- 网络证据：取回监测点留存的流量记录与边界设备日志，覆盖事件时间段
- 控制器侧证据：读取程序与参数留档，注意读取动作对生产的潜在影响
- 记录与保管：整条链条记录归档，证据副本单独存放并限制访问
证据类型与保全方式
| 证据类型 | 保全方式 | 注意点 |
|---|---|---|
| 内存与会话 | 内存转储、记录连接与进程状态 | 重启即丢失，必须最先处理 |
| 磁盘与文件 | 完整镜像后在副本上分析 | 禁止在原件上直接操作与安装工具 |
| 系统与安全日志 | 导出并校验完整性 | 注意时间同步，否则时间线不可信 |
| 网络流量记录 | 从监测点取回对应时段数据 | 需确认留存期内数据尚在 |
| 控制器程序与参数 | 读取留档并记录操作方式 | 读取动作可能影响运行，需先确认 |
| 操作过程记录 | 逐项记录人、时、动作、结果 | 缺失链条记录会削弱后续认定 |
「先恢复生产」与「先保全证据」在很多现场是冲突的，而决策必须在事件发生前就定好：谁有权决定取舍、在什么条件下允许重启、以及允许丢掉哪些证据。事后争论这件事，代价通常比事前约定高得多。