磁盘镜像制作与证据固定
产出的镜像就是后面所有分析的天花板。镜像阶段丢了数据、混进了写操作、或者哈希链断了，后面再精巧的结论都站不住。
知识节点
镜像采集
在 磁盘镜像与仿真 中继续浏览相关技术、方法与案例。
关联资源
围绕“镜像采集”继续查找可练习的题目与可用检材。
节点文档
当前节点及其下级节点已经公开的知识内容。
阅读
远程勘验与在线取证
离线镜像是主战场，但有一类案子没有关机的那一刻：服务器还在跑、勒索还在加密、业务还在被入侵者登录。
证据文件格式与格式转换
同一个物理磁盘的逐位副本，可以被包装成十几种完全不同的文件。选错格式影响的是证据可用性：数据可能无法被检验方打开、压缩后无法证明原始哈希、或者存储开销直接压垮预算。