📚 课程目录第4章云环境证据识别与保全

4. 云环境证据识别与保全

云环境取证与物理主机取证最大的差异，在于证据的"存在形态"和"生命周期"完全不同。在物理主机上，内存、进程、网络连接这些易失性证据通常可以现场采集；而在云上，取证人员往往只能通过云服务商提供的 API 间接观察和获取，且很多易失性数据在实例关机或迁移后即永久消失。因此，云环境证据识别与保全的核心任务是：先判断哪些证据易失、哪些非易失，再选择对应的保全手段，并全程记录证据链。

一、易失性与非易失性证据的识别

易失性证据指断电、重启、实例释放或迁移后即丢失的数据，典型包括：内存中的进程与线程、网络连接表、登录会话、临时密钥、未落盘的日志缓冲、容器运行时状态等。非易失性证据指持久化存储中的数据，包括云主机系统盘与数据盘、对象存储中的对象及其版本、数据库快照、日志服务中的历史日志、镜像与快照本身。

识别时可按"证据所在层级"和"存活时间"两个维度判断。层级上，从计算层（内存、进程）到存储层（磁盘、对象）再到元数据层（操作审计、API 调用记录），易失性依次降低。存活时间上，内存与网络连接以秒到分钟计，系统盘以实例生命周期计，对象存储版本与审计日志则可能保留数月甚至数年。下表给出常见证据类型的易失性判断与保全优先级。

证据类型	易失性	典型保全手段	优先级
内存、进程、网络连接	高（秒~分钟）	在线内存转储、实例冻结	最高
临时密钥、会话令牌	高	API 导出、审计日志回溯	最高
系统盘/数据盘	中（实例生命周期）	云主机快照、镜像导出	高
对象存储对象	低（受版本控制影响）	版本控制、对象锁定	中
操作审计日志	低（按保留策略）	日志归档、只读导出	中

需要特别注意的是，云上"易失"往往不是自然过期，而是被操作触发的。例如删除实例会同时销毁其系统盘（除非设置了不随实例删除），覆盖对象会生成新版本，这些操作本身也会被审计日志记录。因此识别易失性证据时，必须结合审计日志判断"是否已经发生过破坏性操作"。

二、云主机快照与镜像导出

快照是云上保全磁盘证据最常用的手段。以主流云平台为例，创建快照的基本流程是：先记录目标实例的 ID、区域、系统盘与数据盘挂载关系，再对每块盘分别创建快照。快照创建时云平台会记录创建时间、来源磁盘 ID 和快照 ID，这些元数据本身就是证据链的一部分。

需要强调的是，快照不等于原始磁盘的逐字节副本。多数云平台的快照是增量或块级存储，首次快照为全量，后续快照只记录变化块。因此取证时应优先使用首次全量快照，或在创建快照后立即导出为独立镜像文件，避免后续快照链被删除导致数据不可恢复。

镜像导出则是把快照转换为可下载的镜像格式（如 qcow2、vhd、raw）。导出过程通常需要经过"快照 → 镜像 → 导出任务 → 对象存储临时文件 → 下载"多个环节，每个环节都会产生新的资源 ID 和操作记录。取证人员应在导出完成后立即计算镜像文件的 SHA-256 哈希，并与云平台记录的快照哈希（若提供）进行比对。以下是一个典型的导出与校验命令示例：

# 1. 创建系统盘快照（示例参数）
cloud-cli snapshot create \
  --disk-id vol-0a1b2c3d4e5f \
  --name case2024-sysdisk-snap01 \
  --description "取证保全-系统盘-2024-06-01"

# 2. 将快照导出为镜像
cloud-cli image export \
  --snapshot-id snap-0f9e8d7c6b5a \
  --format qcow2 \
  --bucket forensics-bucket \
  --object case2024-sysdisk.qcow2

# 3. 下载后计算哈希并记录
sha256sum case2024-sysdisk.qcow2
# 输出示例：3f2a...c9d1  case2024-sysdisk.qcow2

导出完成后，应立即将镜像文件存入受控的取证存储桶，并开启对象锁定或合规保留策略，防止被覆盖或删除。同时记录导出任务的 API 调用日志，作为证据链中"谁在何时导出了什么"的凭证。

三、存储桶版本控制与对象保全

对象存储中的证据保全与磁盘不同，其核心风险是覆盖和删除。启用版本控制后，每次上传同名对象都会生成新版本，旧版本仍然保留，删除操作也只是添加删除标记而非真正移除数据。这为取证提供了"时间回溯"能力：可以查看对象在某个时间点的内容，判断是否被篡改。

实际操作中，应先在目标存储桶上启用版本控制，再检查是否已有历史版本。若存储桶未启用版本控制，则需立即对现有对象进行只读复制，并记录复制前后的 ETag 与 Last-Modified 时间。对于关键证据对象，可进一步启用对象锁定（WORM 模式），在指定保留期内任何账号都无法删除或覆盖。

版本控制只能防止"未来"的覆盖，无法恢复启用之前已被覆盖的数据。因此发现存储桶未启用版本控制时，应优先检查审计日志中是否有 PutObject、DeleteObject 等操作记录，判断数据是否已经丢失。

四、证据链记录的关键字段

云环境证据链记录必须覆盖"采集—传输—存储—访问"四个阶段。每个阶段至少记录以下字段：采集阶段记录采集人、时间戳（含时区）、云账号 ID、区域、资源 ID、使用的 API 与参数；传输阶段记录传输方式、目标位置、传输时间；存储阶段记录存储位置、访问权限、加密方式、哈希值；访问阶段记录每次访问的人员、时间、目的和操作类型。

这些记录应写入不可篡改的审计日志或独立的证据管理台账。推荐使用结构化格式（如 JSON Lines）逐条追加，便于后续检索和完整性校验。以下是一个证据链记录的示例结构：

{
  "evidence_id": "EV-2024-0601-001",
  "type": "snapshot",
  "resource_id": "snap-0f9e8d7c6b5a",
  "account": "123456789012",
  "region": "cn-north-1",
  "collected_by": "forensics-zhang",
  "collected_at": "2024-06-01T10:23:45+08:00",
  "api": "snapshot.create",
  "sha256": "3f2a...c9d1",
  "storage": "s3://forensics-bucket/case2024/",
  "chain_status": "sealed"
}

云上证据链最容易断裂的环节是"时间戳不一致"。不同云服务的日志时间可能使用 UTC，而取证人员本地记录使用本地时区。所有记录必须统一为带时区的 ISO 8601 格式，并在证据链说明中明确时区基准。

综合来看，云环境证据识别与保全的关键在于：先按易失性排序确定采集顺序，再用快照、镜像导出、版本控制等手段固化证据，最后用结构化、带时区、可校验的证据链记录把整个流程串起来。三者缺一不可，任何一环缺失都会导致证据在后续分析或司法环节中失去证明力。