数字取证基础
通过处理调查人员在系统受损后所依赖的各类取证工件（Artifacts），学习数字取证的基础知识。当系统被擦除、篡改或部分损毁时，调查工作的关键在于如何正确保存证据，并从残余数据中提取有价值的信息。本课程将教你如何进行存储镜像制作、恢复已删除数据、分析元数据，并根据受损文件构建基于证据的时间线。
为什么这很重要
取证不仅仅是寻找有趣的文件，更重要的是保持证据的完整性，在不污染原始数据的前提下恢复数据，并提取足够的上下文信息来还原事件真相。这些习惯对于事件响应、法律审查和违规后分析至关重要。
本课程专注于基础的磁盘取证工作流。你将学习创建位级（bit-level）镜像、从原始数据中恢复已删除内容、检查文件元数据，并将这些技术综合应用于真实的调查场景中。
你将学到什么
- 创建并验证取证镜像，确保不改变原始证据。
- 从原始存储数据中恢复已删除或隐藏的文件。
- 从文档和图像中提取元数据，以支持时间线分析。
- 理解文件工件如何辅助事件重构。
- 以更严谨的取证流程调查受损的存储证据。
课程路线图
- 使用 dd 进行取证镜像制作：创建可信的原始证据副本，并使用哈希值验证其完整性。
- 文件雕刻与恢复（File Carving and Recovery）：使用雕刻技术从磁盘镜像中恢复已删除的数据。
- 分析文件元数据：使用
ExifTool等工具从恢复的文件中提取隐藏的上下文线索。 - 取证调查挑战：在受损系统调查中综合运用镜像制作、数据恢复和元数据分析技术。
课程受众
- 即将进入数字取证和事件响应工作流的学习者。
- 需要加强证据处理基础的安全分析师。
- 希望通过实践入门磁盘工件恢复和时间线构建的防御者。
学习成果
完成本课程后，你将能够正确保存磁盘证据，恢复有价值的取证工件，并利用元数据和恢复的文件更清晰地还原攻击者的活动轨迹。
