4、自动化证据采集工具：Ansible、Terraform、Shell脚本、Python脚本在证据采集中的应用

在Runbook执行过程中，手动采集证据存在效率低、易遗漏、格式不统一等风险。引入自动化工具进行证据采集，可以确保每次执行都按照标准化流程生成结构化的日志、配置文件快照、状态输出和变更记录。本章重点分析四种主流工具在证据采集场景中的适用性、采集模式与留存策略。

4.1 工具选型对比矩阵

不同工具在证据采集的触发方式、数据格式、幂等性和审计追溯能力上存在显著差异。下表从运维审计视角进行横向对比：

4.2 Ansible：Playbook驱动的证据采集

Ansible通过Ad-Hoc命令或Playbook批量采集远程主机的配置、服务状态和日志片段。采集结果通过回调插件（Callback Plugin）统一写入证据存储目录。

4.2.1 典型采集Playbook示例

---
- name: 采集Web服务器运行证据
  hosts: web_servers
  gather_facts: yes
  tasks:
    - name: 采集Nginx配置快照
      slurp:
        src: /etc/nginx/nginx.conf
      register: nginx_config

    - name: 采集当前连接数
      shell: ss -tunap | grep ':443' | wc -l
      register: active_connections

    - name: 写入证据文件
      copy:
        content: |
          {
            "host": "{{ inventory_hostname }}",
            "timestamp": "{{ ansible_date_time.iso8601 }}",
            "nginx_config_base64": "{{ nginx_config.content }}",
            "active_connections": "{{ active_connections.stdout }}"
          }
        dest: "/evidence/{{ ansible_date_time.date }}/{{ inventory_hostname }}.json"
      delegate_to: localhost

4.3 Terraform：基础设施即代码的证据快照

Terraform的State文件本身就是一份完整的基础设施证据清单。通过 terraform show 和 terraform plan -out 命令，可以生成变更前后的差异证据。

4.3.1 证据采集命令链

# 生成当前状态JSON证据
terraform show -json > evidence/terraform_state_$(date +%Y%m%d_%H%M%S).json

# 生成计划变更证据（执行前）
terraform plan -out=plan.tfplan
terraform show -json plan.tfplan > evidence/terraform_plan_$(date +%Y%m%d_%H%M%S).json

# 生成资源清单摘要
terraform state list > evidence/resource_inventory_$(date +%Y%m%d).txt

4.4 Shell脚本：轻量级快速取证

Shell脚本适用于无法安装Agent或需要快速响应的场景。通过标准输出重定向和日志函数，可以快速生成文本格式的证据文件。

4.4.1 证据采集函数模板

#!/bin/bash
EVIDENCE_DIR="/evidence/$(date +%Y%m%d)"
mkdir -p "$EVIDENCE_DIR"

collect_evidence() {
    local host=$1
    local timestamp=$(date -u +"%Y-%m-%dT%H:%M:%SZ")
    local output_file="${EVIDENCE_DIR}/${host}_evidence.json"

    # 采集系统信息
    cat > "$output_file" <<EOF
{
  "host": "$host",
  "timestamp": "$timestamp",
  "kernel": "$(uname -r)",
  "uptime": "$(uptime -p)",
  "disk_usage": "$(df -h / | tail -1 | awk '{print $5}')",
  "memory_free_mb": "$(free -m | awk '/^Mem:/ {print $4}')"
}
EOF
    echo "[$(date)] 证据已采集: $output_file" >> "${EVIDENCE_DIR}/audit.log"
}

# 调用示例
collect_evidence "web-01"

4.5 Python脚本：结构化证据采集引擎

Python脚本通过第三方库（如 paramiko、boto3、requests）实现跨平台、跨API的证据采集，并支持将证据直接写入数据库或对象存储。

4.5.1 证据采集类设计

import json
import datetime
import os

class EvidenceCollector:
    def __init__(self, evidence_dir: str):
        self.evidence_dir = evidence_dir
        os.makedirs(evidence_dir, exist_ok=True)

    def collect_system_evidence(self, host: str, data: dict) -> str:
        """采集并留存系统级证据"""
        evidence = {
            "host": host,
            "timestamp": datetime.datetime.utcnow().isoformat() + "Z",
            "collector_version": "1.0.0",
            "data": data
        }
        filename = f"{host}_{evidence['timestamp'].replace(':', '-')}.json"
        filepath = os.path.join(self.evidence_dir, filename)
        with open(filepath, 'w') as f:
            json.dump(evidence, f, indent=2)
        return filepath

    def collect_api_evidence(self, api_endpoint: str, : str) -> dict:
        """采集API返回的结构化证据"""
        import requests
        headers = {"Authorization": f"Bearer {}"}
        response = requests.get(api_endpoint, headers=headers, timeout=30)
        response.raise_for_status()
        return response.json()

# 使用示例
collector = EvidenceCollector("/evidence/20250320")
evidence_path = collector.collect_system_evidence(
    host="db-01",
    data={"pg_version": "15.2", "connections": 42}
)
print(f"证据已留存: {evidence_path}")

4.6 自动化证据采集架构总览

下图展示了四种工具在Runbook执行过程中的协同采集架构，以及证据流从采集到留存的完整路径：

4.7 证据采集最佳实践清单

为确保自动化采集的证据在审计中具备法律效力和可追溯性，应遵循以下实践：

• 时间同步： 所有采集节点必须启用NTP，证据时间戳统一使用UTC ISO8601格式。
• 内容完整性： 对生成的证据文件计算SHA256哈希值，并将哈希值单独存储或写入审计日志。
• 访问控制： 证据存储目录应设置最小权限（如750），仅允许采集进程和审计人员读取。
• 版本标记： 每个证据文件应包含采集工具版本号，便于追溯工具变更对证据格式的影响。
• 失败重试： 采集脚本应实现指数退避重试机制，避免因网络抖动导致证据缺失。
• 日志关联： 在Runbook执行日志中记录每次证据采集的起止时间、文件路径和结果状态。