## 适用场景
发现机器异常：多了陌生进程、流量暴涨、登录记录可疑。此时最忌讳的动作是立刻删除可疑文件、反复重启、随手杀进程，这些操作会销毁证据且可能触发攻击者的自毁逻辑。取证的核心纪律是先固定证据，再做清理，顺序错了后续溯源与定责都无从谈起。
## 步骤清单
第一步是隔离而不是关机：防火墙规则掐断外联，保留内存现场。关机会清空内存，而内存里可能有密钥、连接与解密后的恶意代码。第二步记录现场：登录时间、执行过的命令、看到的异常现象逐条记录，控制台截图留档。
dd if=/dev/vda of=/mnt/evidence/vda.img bs=4M conv=sync,noerror status=progress sha256sum /mnt/evidence/vda.img > /mnt/evidence/vda.img.sha256
第三步镜像磁盘，对镜像做校验和，之后所有分析都针对镜像，不动原始盘。第四步导出易失信息：网络连接表、进程树、登录记录、计划任务、命令历史，分别落文件。第五步才轮到恢复处置：换机重装优于原地清理，凭据全部更换，被攻破的入口要找到并封堵。
## 验证方法
证据链完整性靠校验和验证：任何时候对镜像重新计算哈希，与保全时的记录一致，证据才算未被污染。分析结论要能对应到镜像中的具体位置与时间线。
## 注意事项
取证期间的操作尽量经跳板记录，形成可信的操作留痕。顺云云服务器场景下，平台快照是额外的保全手段，发现异常即刻打快照，把整机状态冻结在平台层。
时间线整理是贯穿全程的动作：从发现异常起，每一步操作、每一条证据的获取时间都记录在案，证据之间的先后关系是后续分析与举证的骨架。所有时间使用统一时区标注，避免多源日志对不上。
清理与恢复阶段的原则是重建优于消杀：被入侵的机器原地清理永远存在残留风险，新机重装、数据经检验后迁移、凭据全部更换，这套流程的可信度远高于在旧机上杀毒。旧机按取证要求封存到事件定责结束，这是对组织也是对自己的保护。