| 留存内容 | 告警触发前后的报文片段（常见为前后各若干包） |
|---|---|
| 方式 | 设备抓包功能或镜像抓包 |
| 合规 | 留存范围与时限符合内部制度 |
操作要点
操作要点
1. 明确高危告警自动抓包范围
2. 抓包文件按事件编号归档
3. 归档目录访问权限受控
4. 定期清理超期文件抓包文件可能包含业务数据，传输与存储按敏感数据管理。
告警取证与报文留存
对高危告警留存原始报文，既能支撑研判，也能在事件复盘时提供证据；注意留存范围与隐私合规。
易错点
- 抓包范围设置过大会快速占满存储并影响设备性能
- 取证文件未控制访问权限，可能泄露业务数据
数据来源与参考
- NIST SP 800-86（取证技术指南）
- NIST SP 800-61（事件处理）