先保存原始证据
原始材料尽量保持不变。
小白
“这个数据库日志可以直接打开修改吗？”
师傅
“原始文件先保存好。”
小白
“分析怎么办？”
师傅
“复制一份，用副本分析。”
【 第 6 步 】
取证与演练室
师傅：“事件处理过程中，我们已经拿到了数据库审计日志、登录记录、终端日志、导出文件和相关工单。今天先学习证据保护：优先保存原始日志和原始导出，记录获取人员、时间、查询条件和保存位置；
重要文件计算校验值，限制访问范围并登记证据移交，实际分析尽量使用副本，避免修改原始证据。接着再做一次应急演练，验证预案、人员职责、联系人、账号冻结、日志调取和数据恢复能力。
演练不是表演流程，而是主动发现工具、权限和协作中的问题，并为每个问题确定责任人和整改期限。”
01 · 现场对话
取证与演练室的知识任务
给重要文件留下校验值
证明文件有没有变化。
小白
“为什么还要计算校验值？”
师傅
“以后可以检查这份文件有没有被修改。”
小白
“还要记录是谁导出的、什么时候导出的。”
师傅
“对。”
证据交接也要记录
证据流转需要可追踪。
安全人员
“这份日志要交给事件负责人。”
小白
“记录交出人、接收人、时间、位置和用途？”
师傅
“对。”
小白
“这样知道证据一直由谁保管。”
用演练检查团队能力
真实事件结束后继续发现问题。
师傅
“现在模拟一次夜间批量导出事件。”
小白
“先触发告警，再联系负责人、冻结测试账号、调日志？”
师傅
“还要记录响应时间。”
小白
“演练发现的问题也进入整改清单。”
师傅
“对，最后更新预案和联系人。”
02 · 小白做现场笔记
重要概念及注释
证据保护
- 正式含义
- 对事件相关日志、文件、配置和记录的完整性、访问和移交过程进行保护。
- 基本要求
- 保存原始记录 ↓ 记录获取过程 ↓ 校验完整性 ↓ 限制访问 ↓ 记录移交 ↓ 使用副本分析教材将这些要求作为证据保护的核心。
证据不仅要找到，还要证明它后来没有被随意改变。
原始证据
- 正式含义
- 从系统或设备直接取得、尚未经过分析修改的原始日志、文件、配置等材料。
- 面包厂场景
- 数据库审计原始日志 认证原始日志 终端原始日志 导出文件 配置快照
- 基础原则
- 原始文件 → 保存 分析 → 使用副本
原件留下来，分析用副本。
校验值
- 正式含义
- 用于检查一个重要证据文件后续是否发生变化的校验结果。
- 记忆类比
- 可以把校验值理解成文件的一张“数字指纹”。
文件内容发生变化后，再次计算的结果可能不同。
校验值主要用于帮助检查证据文件有没有被改变。
证据移交
- 正式含义
- 证据从一个人员或部门转交给另一个人员或部门时，对整个流转过程进行记录。
- 需要记录
- 证据编号 证据名称 来源系统 时间范围 校验信息 保存位置 交出人 接收人 移交时间 使用目的教材提供的证据移交记录也包含这些基本内容。
重要证据要知道它一直在哪里、由谁保管、交给过谁。
证据副本分析
- 正式含义
- 保留原始证据不变，复制受控副本用于检索、筛选和关联分析。
- 易混辨析
- 原始证据 → 保全和证明完整性 分析副本 → 查询、筛选、关联
分析可以反复做，原始证据尽量不要反复改。
应急演练
- 正式含义
- 在受控环境中模拟安全事件，用于验证预案、人员职责、联络机制、技术措施和恢复能力。
- 演练重点
- 告警能否发现 负责人能否及时联系 账号能否冻结 日志能否调取 证据能否保存 数据能否恢复 部门能否协同教材明确把这些内容作为演练目的。
演练不是证明大家都会，而是主动找出哪里还不会。
演练类型
- 核心内容
- | 类型 | 主要作用 |
| ----- | ---------- |
| 桌面推演 | 讨论决策、职责和沟通 |
| 功能演练 | 验证某一项具体能力 |
| 综合演练 | 模拟较完整事件处置 |
| 无脚本演练 | 检查现场研判和协同 |
这些类型来自教材的应急演练分类。
桌面推演主要练“怎么决定”，功能演练主要练“能不能做到”。
演练复盘
- 正式含义
- 演练结束以后，对响应时间、处置效果、证据完整性和恢复质量进行检查，并形成改进任务。
- 工作路线
- 演练结束 ↓ 发现问题 ↓ 确定责任人 ↓ 确定期限 ↓ 整改 ↓ 复验 ↓ 更新预案和联系人
演练发现的问题，也要像真实问题一样形成整改闭环。
03 · 经验和难点
小结
这一站，小白学会了保存原始日志、计算校验值、限制证据访问和登记移交，并通过应急演练验证人员、流程和技术能力。最值得记住的经验是：重要证据要保持原始状态，分析尽量使用副本，整个流转过程都要能够追踪。初学者最容易遇到的难点，是为了方便分析反复修改原始文件，导致后续难以证明证据是否保持完整。