收集阶段证据怎么归档
收集阶段的产出量大而杂：解析结果、指纹截图、资产清单、抓包记录。如果按时间顺序堆在一起，后续验证阶段找一条线索要翻很久。规范做法是按资产维度归档，每个资产业务一个目录，目录内的文件统一编号并与后续问题编号衔接，涉及个人信息的线索先脱敏再入库。
基本信息
| 归档维度 | 按资产划分：网络段、Web 站点、账号 |
|---|---|
| 编号体系 | 与后续问题编号衔接，便于交叉引用 |
| 脱敏要求 | 涉及个人信息的线索先脱敏再归档 |
| 文件类型 | 解析结果、指纹截图、清单表格、抓包记录 |
| 一致性 | 目录结构在项目内统一，不因人而异 |
典型使用场景
- 验证阶段按资产目录快速定位收集阶段的线索
- 阶段小结与最终报告引用证据时按编号定位
- 多人协作时保持目录结构一致，交接成本低
- 项目结束时按目录打包过程材料作为交付附录
- 脱敏检查：确认入库材料不含个人信息与凭据
目录示例
目录示例
10-信息收集/
├─ web-app.example.com/
│ ├─ 指纹截图.png
│ ├─ 接口清单.md
│ └─ 参数清单.md
├─ 网段-203.0.113.0.md
└─ 账号-权限矩阵.md归档要素读法
| 要素 | 含义 | 常见问题 |
|---|---|---|
| 资产维度 | 按资产而非按时间组织 | 全堆在一个目录里检索困难 |
| 编号 | 与问题编号体系衔接 | 编号自成体系无法交叉引用 |
| 脱敏 | 个人信息与凭据打码后入库 | 抓包记录含完整个资与凭据 |
| 一致性 | 目录结构项目内统一 | 不同人员各用一套结构 |
收集阶段的整理质量直接决定后续阶段的效率：归档看似琐碎，返工成本却最高。
抓包记录与页面截图常含个人信息与凭据，入库前必须脱敏，避免证据目录本身成为泄露源。
归档检查项
- 每个授权资产都有独立目录，目录名使用完整域名或网段
- 截图与清单文件命名含时间或编号，可按序检索
- 抓包与日志文件已脱敏，且注明采集时间与来源
- 证据编号与后续问题编号体系的对应关系清晰
- 交付前抽查：随机抽三个资产目录，确认结构一致可检索