调查、取证与证据（Investigations, Forensics & Evidence）

来源：Chapter 19 · Investigations（部分）域：Domain 8 Security and Risk Management（安全与风险管理）模板：原书定义+对比表 / 真实案例 / 考试怎么考

① 一句话秒懂

当安全事件发生后，光”修好”不够，还得按法律和规矩把真相查清楚、把证据留得住——这就是调查与取证（forensics）要做的事。

调查类型（Types of Investigations）——Sybex 明确指出，调查按”谁发起、按什么规则”分为五类，CISSP 常考区分：

调查类型	发起方	目的	关键特征
Administrative（行政调查）	组织内部	违反内部政策	不必然违法，但违反公司规章
Criminal（刑事调查）	执法机关	追究刑事责任	需”排除合理怀疑 beyond reasonable doubt”
Civil（民事调查）	个人/企业	索赔/救济	标准较低：”优势证据 preponderance of evidence”
Regulatory（监管调查）	监管机构（如 SEC/FTC）	违反行业法规	依特定法规授权
Industry standards（行业标准调查）	自律组织/标准体	违反行业标准	如 PCI DSS 合规调查

证据四类型（Four Types of Evidence）：

可采性三要件（Admissible Evidence）：证据要在法庭被接受，须满足——①相关性（relevant）；②真实性/可靠性（authentic）；③合法性（legally obtained，非法取得会被排除）。

关键证据规则：

取证像”交警处理事故”：先保护现场（防止破坏）、拍照量尺（哈希固定）、记录谁碰过证物（chain of custody 监管链），最后出具报告。随便动一下现场，证据就”作废”了。

监管链（Chain of Custody）：从证据收集→存储→分析→呈堂，每一步谁经手、何时、为何，必须连续记录。断链即可能失效。

取证五原则（IOCE）：①最小化处理原始；②全程记录；③可独立验证；④责任人明确；⑤符合法律规定。

取证技术分类：

洛卡德交换原理（Locard’s Exchange Principle）：犯罪者每一次接触都会留下/带走微量痕迹——数字世界同理，攻击者必留日志、文件时间戳等”数字尘埃”。

题干：”Which type of investigation requires proof beyond a reasonable doubt?” → 答 Criminal。混淆：Civil 用 preponderance of evidence（更低标准）。
题干：”What rule requires the original document?” → 答 Best Evidence Rule。混淆：Parol Evidence Rule 是关于口头约定 vs 书面合同。
题干：”Forensic copy must use a __ to prevent alteration.” → 答 write blocker。
题干：”What principle states every contact leaves a trace?” → 答 Locard’s Exchange Principle。