适用场景
取证的第一原则是"保全证据"，第二原则是"别破坏现场"。很多单位一发现入侵就先重装系统，结果证据全丢、责任说不清。
配置步骤（数据恢复与系统重建）
# 1) 确认影响范围与备份可用性（备份是否干净）
# 2) 在隔离环境恢复数据并校验完整性
# 3) 重建系统：全新安装 + 补丁 + 加固
# 4) 恢复业务数据，验证功能
# 5) 复盘与加固措施上线关键参数与建议
- 处置顺序：隔离网络（不断电）→ 内存取证 → 磁盘镜像 → 日志收集 → 分析
- 保留原始介质与哈希，分析在副本上进行
- 记录时间线：所有操作与发现都要带时间戳
- 涉及法律场景要有见证人与证据链记录
- 恢复前先确认备份是否干净（避免恢复回带毒数据）
容易踩的坑
- 直接用被入侵的备份恢复，问题复发
- 重建后未加固，同样漏洞再次被利用
- 恢复后不验证完整性，数据缺失无人知
验证与巡检
# 验证：业务功能抽测、数据行数/时间范围核对- 巡检：恢复演练记录、加固措施清单
小结
取证的验收标准：能从证据还原出"何时、如何进入、做了什么、影响范围"，并形成书面报告。做不到就只是"重装了事"。
> 说明：文中命令为通用写法，不同型号/版本可能略有差异，落地前请对照设备实际版本的官方文档；带外管理与安全设备变更建议先在测试设备验证。