2. 证据类型分类：日志文件、屏幕截图、命令输出、API响应、配置文件快照、时间戳与操作人记录

在Runbook执行过程中，证据的多样性决定了其在不同审计场景下的证明力。本章将六类核心证据类型进行结构化分类，明确每类证据的采集时机、格式要求与审计价值。

2.1 六类证据总览

证据类型	采集时机	典型格式	审计证明力
日志文件	操作前、操作中、操作后	.log, .txt, syslog	高（不可逆记录）
屏幕截图	关键确认点、异常发生时	.png, .jpg	中（需结合时间戳）
命令输出	每次命令执行后	stdout重定向文件	高（原始输出）
API响应	接口调用后	.json, .xml	高（结构化可解析）
配置文件快照	变更前、变更后	.conf, .yaml, .json	极高（基线对比）
时间戳与操作人记录	贯穿全程	元数据、审计日志	必备（关联所有证据）

2.2 证据类型关系架构

下图展示了六类证据在Runbook执行流程中的采集位置与关联关系，帮助运维人员快速建立证据采集的全局视图。

2.3 各证据类型详解

2.3.1 日志文件

日志文件是系统、应用或中间件自动生成的时序记录，具有不可篡改的天然属性。在Runbook执行中，应同时采集系统日志（如 /var/log/messages）和应用日志（如 app.log）。

# 采集系统日志示例
journalctl --since "2025-01-15 10:00:00" --until "2025-01-15 10:30:00" > runbook_syslog_20250115_1030.log

2.3.2 屏幕截图

屏幕截图用于记录图形界面操作、异常弹窗、监控面板状态等视觉证据。建议使用自动化截图工具（如 gnome-screenshot、scrot）并自动命名。

# 自动化截图并添加时间戳
gnome-screenshot -f /evidence/screenshot_$(date +%Y%m%d_%H%M%S).png

2.3.3 命令输出

命令输出是运维人员执行CLI命令后的标准输出（stdout）和标准错误（stderr）。必须将输出重定向到文件，避免仅依赖终端回显。

# 命令输出重定向示例
kubectl get pods -n production > pod_list_20250115.txt 2>&1

2.3.4 API响应

API响应是调用RESTful或gRPC接口后返回的结构化数据，通常为JSON或XML格式。保留原始响应体，不进行格式化或过滤。

# 保存API原始响应
curl -s -X GET "https://api.example.com/v1/deployments" \
  -H "Authorization: Bearer ${}" \
  -o deployment_response_20250115.json

2.3.5 配置文件快照

配置文件快照是在变更操作前后分别对配置文件进行的完整备份。通过diff工具对比快照，可精确识别变更内容。

# 变更前快照
cp /etc/nginx/nginx.conf /evidence/nginx.conf.before_20250115

# 变更后快照
cp /etc/nginx/nginx.conf /evidence/nginx.conf.after_20250115

# 对比差异
diff /evidence/nginx.conf.before_20250115 /evidence/nginx.conf.after_20250115

2.3.6 时间戳与操作人记录

时间戳与操作人记录是所有证据的元数据基础。建议在证据文件名、文件头或关联的审计日志中明确记录操作人、操作时间、操作来源IP。

# 证据文件命名规范
{证据类型}_{操作人}_{操作时间}_{操作描述}.{扩展名}

# 示例
cmd_output_zhangsan_20250115_103000_pod_list.txt

2.4 证据类型选择矩阵

根据不同的操作场景，推荐优先采集的证据类型组合如下：

操作场景	首选证据	辅助证据	说明
配置变更	配置文件快照	命令输出 + 日志文件	快照提供基线，命令输出验证生效
服务部署	API响应	命令输出 + 屏幕截图	API确认部署状态，截图保留UI验证
故障排查	日志文件	命令输出 + 时间戳记录	日志定位根因，命令输出辅助诊断
权限审计	时间戳与操作人记录	日志文件 + 命令输出	操作人记录是审计核心，日志佐证

2.5 证据完整性检查清单

• 完整性：每类证据是否包含完整的上下文（时间、操作人、步骤编号）？
• 可读性：日志文件是否包含时间戳和日志级别？命令输出是否包含执行命令本身？
• 不可抵赖性：屏幕截图是否包含系统时间水印？API响应是否包含请求ID？
• 可对比性：配置文件快照是否同时保存变更前和变更后版本？
• 关联性：时间戳与操作人记录是否与所有其他证据类型建立关联？