3. 取证科学基础
数字取证的科学性并不来自“工具跑出了结果”，而来自一条可被第三方复核的证据处理链：从接触介质的那一刻起，证据的完整性、保管链、易失性顺序、写保护、哈希校验与镜像格式，共同决定了后续分析结论能否在法庭或内部调查中被采信。本节把这些概念落到工程规范上，说明每一步“应该做什么”以及“实际怎么做”。
证据完整性与保管链：可追溯是底线
证据完整性指证据自采集起未被非授权修改，且任何接触都有记录。它由两个机制保障：一是写保护等技术手段防止意外写入，二是保管链（Chain of Custody, CoC）记录“谁、何时、何地、为何、如何”接触证据。保管链不是行政表格，而是证据的“生命履历”，一旦断裂，证据的证明力会被质疑。
工程上，保管链记录至少应包含：唯一证据编号、设备序列号与型号、采集人、采集时间（含时区）、采集地点、操作类型（扣押/镜像/分析/移交）、哈希值、存储介质编号、移交双方签名。示例字段可设计如下：
证据编号: DFIR-2024-0317-01
设备: Samsung SSD 980 1TB SN: S6B0NL0T512345
采集人: 张工 见证人: 李工
采集时间: 2024-03-17 14:22:10 +08:00
操作: 只读镜像 (E01)
镜像哈希(SHA-256): 9f2c...a71d
存储介质: 证据盘 EV-07 (SN: WX21A88K)
移交: 张工 -> 王工 2024-03-17 16:05 签名: ____
注意时间必须带时区，跨时区案件中本地时间会造成顺序误判；哈希值应记录算法与完整摘要，便于复核。
易失性顺序：先抓最易消失的
计算机中的证据按“易失性”排序，越易失的越应先采集。经典顺序为：CPU 寄存器与缓存 → 内存（RAM）→ 网络连接与路由表 → 运行进程与临时文件 → 磁盘 → 备份与归档介质。若先拔电再取内存，内存中的进程、密钥、未落盘数据将永久丢失。
实际响应中，现场应先记录屏幕内容、系统时间，再采集内存镜像，随后才做磁盘镜像。内存采集常用工具如 WinPmem、LiME、AVML，命令示例（示例参数，非实测）：
winpmem_mini_x64.exe memdump.raw
# 或 Linux
sudo insmod lime.ko "path=/mnt/ev/mem.lime format=lime"
采集后立即对内存镜像计算哈希并记录，避免后续争议。
写保护：阻断“分析即污染”
写保护确保取证过程中不对原始介质写入任何数据。硬件写保护器（Write Blocker）串接在介质与取证主机之间，从物理层阻断写命令；软件写保护则依赖操作系统挂载为只读，可靠性较低。工程规范要求：原始介质只读接入，所有分析在镜像副本上进行。
验证写保护是否生效，可在接入后尝试写入并确认失败，或使用工具检查设备只读标志。若使用 Linux，可检查 blockdev --getro /dev/sdb 返回 1；Windows 下可用 diskpart 的 attributes disk 查看只读状态。
哈希校验：完整性的数学证明
哈希函数把任意长度数据映射为固定长度摘要，碰撞概率极低。取证中常用 SHA-256，MD5 因碰撞已被攻破，仅作辅助。规范要求：采集前对原始介质计算哈希，采集后对镜像计算哈希，两者一致才证明镜像忠实复制。
计算与比对示例（示例命令）：
# 采集前对源盘计算
sha256sum /dev/sdb > source.sha256
# 采集后对镜像计算
sha256sum evidence.dd > image.sha256
# 比对
diff source.sha256 image.sha256 && echo "MATCH"
若使用 E01 格式，工具会内嵌哈希；仍建议独立计算并记录。哈希不一致时，必须重新采集，不得“修补”后继续。
取证镜像：格式与工程规范
常见镜像格式有原始格式（dd/raw）、E01（EnCase）、AFF4 等。原始格式兼容性好但无压缩与元数据；E01 支持压缩、分卷与内嵌校验，适合大容量证据。工程规范包括：镜像文件命名含证据编号与日期；分卷大小按存储介质规划；采集日志与哈希清单同盘保存；镜像完成后立即做只读挂载验证。
只读挂载验证示例：
sudo mount -o ro,loop,offset=1048576 evidence.dd /mnt/analysis
# 或使用 ewfmount 挂载 E01
ewfmount evidence.E01 /mnt/ewf
挂载后应能浏览文件系统且无法写入，确认镜像可用。
工程闭环：从接触到可复核
把上述要素串成闭环：现场先按易失性顺序采集内存与运行状态，再通过写保护器只读接入磁盘，计算源盘哈希后采集镜像，对镜像再次计算哈希并比对；全程记录保管链，镜像与日志同盘保存。任何一步缺失，都会让“证据可信”这一前提动摇。实际案件中，常见错误包括：先拔电导致内存丢失、用普通 USB 转接线直连导致系统自动写入、只记录本地时间未标时区、哈希不一致却继续分析。规范的价值正在于把这些错误挡在流程之外。