用途
forensics-checklist 是一个数字取证证据采集检查清单，用于在安全事件中按规范流程保全证据。它参考两个框架：NIST SP 800-86（Guide to Integrating Forensic Techniques into Incident Response）与 RFC 3227（Guidelines for Evidence Collection and Archiving）。适用角色为 SOC 分析师、安全工程师，预计耗时 30-60 分钟。输出为：按易失性排序的采集步骤的证据收集计划、证据链表单、完整性哈希，以及云取证注意事项。
何时使用
当满足以下任一条件时调用：事件需要取证证据（已确认或疑似安全事件进入需为根因分析、法律程序或合规要求保全证据的阶段）；需要捕获易失性数据；需要磁盘镜像；需要建立证据链；云环境证据采集；需要保全日志。
不适用场景：事件分类与响应协调（使用 ir-playbook）、遏制策略选择（使用 containment）、事件后复盘（使用 post-incident-review）。
使用前需确认的上下文
事件 ID 与严重级别、受影响系统信息、当前系统状态（开机/关机/挂起/未知）、法律保留状态、授权情况、证据存储介质、可用取证工具、云提供商访问权限、时间同步配置、加密状态。
主要流程
流程分为六步：
-
建立证据链：在接触任何证据前初始化证据链记录，记录每个转移、访问或修改。文档应包含案件/事件 ID、证据 ID、描述、来源系统、采集时间、采集人、采集方法、存储位置、SHA-256 哈希，并维护转移日志表。证据链原则包括记录采集人/时间/地点/方式，记录每次转移，使用防篡改容器，采集时与每次转移时计算并记录 SHA-256 哈希，保持从采集到最终处置的连续记录。
-
按易失性顺序采集：按 RFC 3227 定义的七个优先级采集：寄存器与缓存（纳秒级）、路由表/ARP 缓存/进程表/内核统计/内存（秒至分钟）、临时文件系统（分钟至小时）、磁盘、远程日志与监控数据、物理配置与网络拓扑、归档介质。
-
易失性数据捕获：在任何会改变系统状态的遏制动作之前捕获易失性数据。涵盖内存采集（Linux 使用 LiME，Windows 使用 WinPmem 或 DumpIt，虚拟机采用挂起/检查点方式）、易失性系统状态（网络状态、进程状态、用户与会话状态）、临时文件系统。
-
非易失性数据捕获（磁盘镜像）：创建取证健全的磁盘镜像。原则包括始终写入独立目标盘、使用写阻断器、创建完整位流镜像、镜像前后计算哈希、镜像整盘而非单个分区。工具示例包括 Linux 的 dc3dd 与 ewfacquire、Windows 的 FTK Imager。
-
日志保全：在轮转策略销毁日志前保全。优先日志源包括认证日志、Web 服务器访问/错误日志、防火墙/IDS/IPS 日志、DNS 查询日志、SIEM/集中日志、云提供商审计日志、邮件服务器日志、VPN 与远程访问日志、端点检测（EDR）遥测。
-
云取证：直接硬件访问不可用时采用不同采集技术，针对 AWS、Azure、GCP 分别提供快照创建与日志导出方式。云取证注意事项包括：快照不是位流镜像、需事先启用日志、云提供商日志是主要证据源、多区域部署需跨区域采集、无服务器环境仅产生调用日志。
发现分类
按严重级别分为 P0（Critical，需立即保全）、P1（High，4 小时内优先处理）、P2（Medium，24 小时内处理）、P3（Low，日志保全）、P4（Informational，记录并数字保全），各附证据处理方式。
输出格式
生成取证证据采集报告，包含指定章节：采集摘要、证据清单表（证据 ID、类型、来源系统、采集时间 UTC、SHA-256 哈希、检查员、存储位置）、易失性顺序合规表（RFC 3227 七个优先级与是否采集）、证据链等。
限制
该技能仅用于证据采集的流程指导与清单检查，不替代事件分类与响应协调、遏制策略选择或事件后复盘；其输出为取证辅助材料，用于法庭采信的证据仍需人工检查员处理。资料中未提供关于价格、收费或具体平台支持的更多信息。