4. 证据留存原则：证据链完整性、时间戳固化、不可篡改性、合规性要求

在服务目录平台的资源边界排障过程中，证据留存不仅是技术操作，更是合规审计与责任追溯的基础。任何缺失环节的证据都可能导致排障结论被质疑、变更回滚失败、甚至触发合规风险。本节围绕四项核心原则展开，确保每一份证据都具备法律效力和技术可信度。

4.1 证据链完整性：从发现到闭环的全链路记录

证据链完整性要求排障过程中的每一个关键步骤——从异常发现、诊断分析、操作执行到结果验证——都必须有对应的证据记录，且各环节之间能够相互印证。缺失任意一环，整条证据链即断裂。

4.2 时间戳固化：统一时钟源与不可抵赖性

时间戳是证据链的“锚点”。若各系统时间不同步，证据的时间顺序将无法对齐，甚至导致责任认定错误。时间戳固化包含两个层面：统一时钟源与固化记录。

• 统一时钟源： 所有服务器、网络设备、监控系统必须同步至同一 NTP 服务器（如公司内部 NTP 池或国家授时中心），偏差不得超过 500ms。
• 固化记录： 关键操作日志、截图、录屏必须附带精确到毫秒的时间戳，且该时间戳应来自系统时钟而非人工输入。
• 防篡改机制： 日志服务器应开启 rsyslog 或 syslog-ng 的 timestamp 字段强制写入，禁止客户端自定义时间。

# 示例：rsyslog 配置强制使用系统时间戳
$ActionFileDefaultTemplate RSYSLOG_FileFormat
$template MyFormat,"%timegenerated% %hostname% %syslogtag% %msg%\n"
*.* /var/log/evidence.log;MyFormat

4.3 不可篡改性：哈希校验与日志审计

证据一旦生成，必须确保其内容在存储、传输、归档过程中不被任何人员（包括管理员）篡改。不可篡改性通常通过以下技术组合实现：

• 哈希链校验： 每份证据文件生成时计算 SHA-256 哈希值，并将哈希值写入区块链或不可变日志中。后续验证时重新计算哈希，比对是否一致。
• WORM 存储： 使用 Write Once Read Many 存储设备或对象存储的不可变桶（如 AWS S3 Object Lock），确保证据文件写入后不可删除或修改。
• 日志审计： 所有对证据文件的访问、复制、移动操作均需记录审计日志，并定期进行完整性扫描。

4.4 合规性要求：行业标准与法律效力

不同行业对证据留存有明确的法规要求。服务目录平台作为企业核心资产，其排障证据必须同时满足内部审计与外部监管的双重标准。

4.5 证据留存架构总览

下图展示了证据留存的完整技术架构，涵盖从证据生成、固化、存储到审计的全流程，确保四项原则在工程层面落地。

4.6 证据留存检查清单

在每次资源边界排障结束后，建议使用以下清单进行证据完整性自检，确保满足四项原则。

1. 证据链完整性： 是否覆盖发现、诊断、操作、验证四个阶段？各阶段证据能否通过时间戳或工单号关联？
2. 时间戳固化： 所有证据的时间戳是否来自统一 NTP 源？偏差是否在 500ms 以内？
3. 不可篡改性： 关键证据是否已计算哈希并存储至不可变介质？是否有访问审计日志？
4. 合规性要求： 证据保留期限是否满足行业标准？是否包含个人数据？脱敏与删除策略是否已执行？