证据链管理要点
证据链管理针对的是需要作为正式材料使用的证据，典型场景是测试过程中发现真实入侵痕迹（异常文件、可疑账号、可疑外联）。此时测试方转为协助角色：不清理、不深挖、先保全。需要记录的内容包括发现时间与地点、获取方式、经手人与复核人，以及原始材料的哈希值；材料应存放在只读介质或受控目录中，限制访问。这样做的原因是证据一旦被改动，其证明力就消失了。测试中常见的失误是发现可疑样本后直接打开分析，原始状态被破坏，后续既无法移交也无从追溯。
基本信息
| 适用材料 | 日志、截图、原始文件（如入侵样本） |
|---|---|
| 记录内容 | 发现时间、获取方式、经手人、哈希与存放位置 |
| 存放要求 | 只读介质或受控目录，限制访问 |
| 分工 | 测试方协助，客户负责后续处置 |
| 原则 | 不清理、不深挖、先保全 |
典型使用场景
- 发现异常文件：Web 目录下的可疑脚本或样本
- 异常账号：不在册但可登录的账号
- 可疑外联：服务器向未知地址发起的连接
- 日志异常：非测试动作产生的高危操作记录
- 移交处置：把保全的证据与时间线移交客户安全团队
证据记录示例
证据记录示例
编号：E-20261012-01
内容：Web 目录异常文件（已采样）
获取：只读复制，哈希 sha256:9f2c...
经手：张工 / 复核：李工
# 存放于受控目录，限制访问并记录调阅证据要素与要求
| 要素 | 要求 | 常见失误 |
|---|---|---|
| 时间 | 精确到分钟 | 只记日期，顺序无法还原 |
| 获取方式 | 只读复制并注明工具 | 直接打开样本分析 |
| 经手与复核 | 双人记录并签字 | 单人操作无复核 |
| 哈希 | 记录算法与完整值 | 只摘录部分哈希 |
| 存放 | 受控目录并限制访问 | 与测试材料混放 |
如果测试中发现真实入侵痕迹，测试方转为协助角色：保全证据、移交客户处置，而不是替代客户做应急响应。
对可疑样本直接打开分析会破坏原始状态，也可能触发二次感染；保全优先于分析，分析交由客户或专业取证团队。