D7-04 8–10 分钟 重要程度：高

调查、取证、证据与 Chain of Custody

调查与取证要求证据相关、重要、合法取得，并通过完整 Chain of custody 证明从收集到呈现期间未被不当修改。

一、必须记住

  • 调查类型包括 Administrative、Criminal、Civil、Regulatory 和 eDiscovery。
  • 可采纳证据通常必须 Relevant、Material、Competent。
  • Best evidence rule 偏好原始证据；Hearsay rule 通常排除未经认证的传闻。
  • 证据类型包括 Real evidence、Documentary evidence、Testimonial evidence 和 Chain of custody 记录。
  • Chain of custody 记录谁在何时何地以何种方式收集、保管、访问、转移和处置证据。
  • 数字证据收集后不得修改；应使用 write blocker 和取证镜像，尽量分析副本而非原始介质。
  • 调查报告应记录目标、程序、证据、发现、结论和建议。

二、核心概念

调查类型

Administrative investigation 处理内部政策或业务问题；Criminal investigation 通常由执法机关处理犯罪；Civil investigation 服务诉讼；Regulatory investigation 来自政府或行业监管；eDiscovery 关注诉讼中电子信息的识别、保存、收集、处理和呈现。

证据可采纳性

证据必须与事实相关、对案件有重要性，并以合法方式取得。日志、文档和数字镜像需要认证；如果收集过程改变证据或无法说明保管过程，证据可能被法院排除。

取证操作

取证人员应使用写阻塞器防止写入原始介质，创建逐位镜像并计算哈希值，记录每一次交接。若不确定，应寻求专家协助，而不是在受害系统上随意操作。

三、CISSP 判断规则

  • 问证据可采纳三要素，选 Relevant、Material、Competent。
  • 问谁接触过证据、何时转移，选 Chain of custody。
  • 问防止修改原始磁盘，选 Write blocker。
  • 问调查时不破坏证据，分析取证副本而非原始系统。
  • 问法律诉讼中的电子信息处理，选 eDiscovery。

四、常见陷阱

  • Chain of custody 不是加密算法，而是证据保管和交接记录。
  • 业务恢复需要快，但取证场景不能为了恢复而破坏证据。
  • 私自反击攻击者可能违法，也可能伤及无辜第三方。

五、英文关键字

Administrative investigation Criminal investigation Civil investigation Regulatory investigation eDiscovery EDRM Evidence （证据） Relevant （相关） Material （重要） Competent （合格 / 合法可采） Best evidence rule Hearsay rule Chain of custody （证据保管链） Write blocker （写阻塞器） Forensic image （取证镜像）

小测验

1. 为了证明证据从收集到提交期间由谁保管、是否被转移，应维护什么？

Chain of custody 记录证据的收集、保管、访问和转移过程，是证明完整性的关键。

2. 可采纳证据通常需要满足哪组三项要求？

CISSP 常见规则是证据必须相关、重要且通过合法方式取得。

3. 取证人员连接嫌疑硬盘时使用 write blocker 的主要目的是什么？

Write blocker 拦截写命令，避免取证过程改变原始介质。

本节进度

完成后会保存在当前浏览器。线上版可保存；不同手机、平板之间暂不自动同步。

尚未完成