| 网络侧 | NAT 日志、会话日志、威胁告警 |
|---|---|
| 主机侧 | 系统与应用日志、进程记录 |
| 账号侧 | 认证与授权记录 |
| 处置侧 | 隔离、封禁与恢复记录 |
证据链模板
证据链模板
1. 事件时间与初始告警
2. 涉及地址与转换关系
3. 主机与账号定位
4. 影响范围评估
5. 处置动作与结果
6. 证据清单与获取方式证据获取过程本身要留痕（谁、何时、通过什么方式）。
溯源证据链构建
完整证据链 = 网络侧日志 + 主机侧日志 + 账号认证记录 + 处置记录，任何一环缺失都会让溯源结论不牢固。
易错点
- 只凭单一告警下结论，忽略关联证据导致误判
- 证据获取无记录，后续无法复现结论
数据来源与参考
- NIST SP 800-86（取证指南）
- GB/T 22239（安全审计）