取证工件地图
Linux 取证最反直觉的一点是它没有集中入口。Windows 上 Security.evtx 一个文件就能回答「谁在什么时候登录了什么」，Linux 没有等价物：同样的信息被拆散在文本日志、文件时间戳、utmp 二进制库、shell 历史、包管理器账本，以及只有运行中才存在的 /proc 里。
知识空间
计算机取证
Windows 注册表与事件日志、Linux 与 macOS 执行痕迹、启动项、用户活动与时间线重建。
子知识
从下级知识节点继续浏览。
知识文档
该知识空间中已整理并公开的 28 篇文档。
用户行为痕迹
Prefetch 回答「程序有没有跑过」。用户行为痕迹回答另一件事——人在干什么。
事件日志深度分析
事件日志是 Windows 上少数由系统主动、持续、按审计规则记录的证据。它和注册表、Prefetch 这类「顺手留下的痕迹」有本质区别：注册表与 Prefetch 是副产品（为配置和加速而写，可能被清理，也可能因功能未启用而不存在），事件日志则是专职记录——存在的目的就是记录「谁在什么时候做了什么」。
包管理器与软件清单
多数 Linux 取证只读 auth.log 和文件时间戳，很少系统性地读包管理器的账本。
注册表取证
注册表保存 Windows 的系统与用户配置，也包含设备连接、程序使用、软件安装和账户信息等取证工件。分析时应确认 hive 来源、用户归属和事务日志状态，再将相关键值与文件、事件日志等证据交叉核对。
取证实战流程
前七篇讲"macOS 上有什么、怎么看"。
系统日志深度分析
Linux 日志分析真正的困难只有一个：你要找的那份日志，可能不叫那个名字，也可能不在那个目录，甚至可能已经不是文本了。
取证工件地图
拿到 Mac 镜像后的第一个障碍不是技术，是心智模型。
计划任务与持久化痕迹
"开机自动运行"这件事被分散在十几个互不相干的位置，每个位置有各自的格式、不同的加载时机、不同的日志记录方式。
Linux 时间线重建
Windows 侧做时间线有个便利：事件日志带年份、带时区、精度到毫秒，还集中在少数几个文件里。导出即完整时间线。
取证工件地图
拿到一台 Windows 主机镜像，第一个问题是：证据在哪里？
浏览器取证
浏览器是个人设备上信息记录最密集的应用：它同时记下了访问过什么、搜索过什么、下载过什么、登录过什么、填过什么，以及什么时候发生。
UsnJrnl 与文件操作时间线
NTFS 上有一个对取证极其重要、却不在常规目录遍历中出现的元数据文件：$UsnJrnl。它是 NTFS 的变更日志，记录该卷上每一次文件创建、删除、重命名、写入、加解密操作——并且在文件被删除、目录被清空之后，记录依然保留。
Windows 11 与 Recall
Windows 11 带来的取证变化里，最需要重新认识的是 Recall。
Sysmon 与 Windows 日志聚合
自带事件日志撑不起入侵检测。缺陷有两头：
LNK 快捷方式与 Jump List 跳转列表
.lnk 是 Windows 快捷方式文件，取证价值却远高于它的文件体积。一个通常只有 1–2 KB 的二进制文件，往往同时记录了目标文件的三个时间戳、目标所在卷的序列号、目标绝对路径、源机器的 NetBIOS 名，甚至源机器网卡的 MAC 地址。