发现证据标准

证据四条标准:可复现、最小必要、已脱敏、可关联;请求响应文本优先于截图,保留时间戳与账号来源,原始件只在受控证据库保存。

四标准可复现/最小化/脱敏/可关联
形式文本片段优先,截图需水印
标注时间戳 + 源账号 + 环境
保存受控目录 + 索引编号

证据片段示例(脱敏)

证据片段示例(脱敏)
GET /api/v1/orders/10086 HTTP/1.1
Host: app.example.com
Authorization: Bearer [REDACTED]

HTTP/1.1 200 OK
{"order_id":"10086","status":"paid","amount":"[REDACTED]"}
-- 采集时间:2026-10-12 14:20 (+08:00)
整页截图常包含无关个人数据:截图前先缩窄页面与字段范围。

易错点

  • 证据无法关联到具体时间与账号,复核困难
  • 原始未脱敏证据进入共享文件夹

数据来源与参考

  • NIST SP 800-115(证据处理)
  • OWASP WSTG(证据规范)
​‌‌​​‌​​​‌‌​‌‌‌‌​‌‌​​​‌‌​‌‌‌​​‌‌​​‌​‌‌‌​​‌‌‌​​​‌​‌‌​‌​​‌​‌‌‌​​​‌​‌‌​‌​​‌​‌‌​​​‌‌​‌‌‌​‌​​​‌‌​‌‌‌‌​​‌​‌‌‌​​‌‌​​​‌‌​‌‌​‌‌‌‌​‌‌​‌‌​‌