服务

数字取证

数字取证的工作，是在事情已经出问题之后，弄清楚究竟发生了什么，可能是一次入侵、疑似内部人员活动，或是取决于某台设备或系统实际显示内容的法律事务。这是细致的证据性工作，必须以经得起审视的方式进行，而不是为了满足好奇心匆匆看一眼。

核心原则是在任何其他操作触碰之前先保全证据。系统一旦被草率检查，您就有可能改变时间戳、覆盖日志，或者以其他方式破坏您想要调查的对象。因此第一步始终是规范的镜像取证和证据链文档记录，而不是打开文件到处翻看。

通常涵盖的内容

重建被入侵系统上发生之事的时间线：访问何时发生，哪些内容被访问或被窃取，以及入侵究竟是如何发生的。对于内部人员事件调查，重点是有理有据地确定实际发生了什么，而不是依赖假设或办公室里的传言。对于法律事务，产出必须能够真正被提交并经得起检验：有文档记录的方法、保全完好的证据链，以及他人查看同一份证据时能够复现的结论。

与事件响应协同工作

取证与事件响应相关但不相同：事件响应的重点是迅速遏制和恢复；取证的重点是准确弄清发生了什么，这有时意味着要在事件响应想要加快的地方放慢脚步。我会统筹两者，让您既获得所需的速度，又不破坏日后需要的证据，无论是用于您自己的事后复盘、保险理赔还是诉讼。

如果您正面对疑似事件，或需要对实际发生的情况进行经得起检验的调查，请联系我，证据保全得越早，可用的材料就越多。