Entry № 440
证据获取
证据获取 是什么?
证据获取使用取证可靠的工具和流程,从系统、网络和云服务中可辩护地收集数字证据。
证据获取是数字调查中将数据从来源捕获、以便后续分析的正式步骤。常见对象包括物理硬盘、虚拟磁盘、内存、移动设备、云工作负载和网络抓包。获取方式可分为物理(使用 FTK Imager、dd 或 Guymager 进行位对位镜像)、逻辑(使用 KAPE 或 Velociraptor 进行文件级提取)和实时(使用 WinPmem、LiME 或 Magnet RAM Capture 采集易失数据)。从业者在获取时进行哈希,优先使用硬件写阻断器,在副本上作业,并在保管链中记录每一步。NIST SP 800-86 与 ISO/IEC 27037 强调易失性顺序以及对源介质影响最小化。
● 示例
- 01
通过硬件写阻断器,使用 Guymager 对一块 1 TB SSD 进行位对位镜像。
- 02
通过 Graph API 提取 Microsoft 365 Unified Audit Logs 以保留云端活动。
● 常见问题
证据获取 是什么?
使用取证可靠的工具和流程,从系统、网络和云服务中可辩护地收集数字证据。 它属于网络安全的 取证与应急响应 分类。
证据获取 是什么意思?
使用取证可靠的工具和流程,从系统、网络和云服务中可辩护地收集数字证据。
如何防御 证据获取?
针对 证据获取 的防御通常结合技术控制与运营实践,详见上方完整定义。
证据获取 还有哪些其他名称?
常见的别称包括: 证据采集, 取证获取。