在 计算机取证 中继续浏览相关技术、方法与案例。
围绕“日志与持久化”继续查找可练习的题目与可用检材。
当前节点及其下级节点已经公开的知识内容。
macOS 上删掉的东西通常还有痕迹可追，只是这三个机制各补一块，单拎出一个都不够用。
Windows 取证有一条清晰的日志主线：事件查看器、Security.evtx、System.evtx。
