和信息发现两个阶段。物理证据获取是指调查人员到计算机犯罪或入侵的现场，寻找并扣留相关的计算机硬件；信息发现是指从原始数据(包括文件，日志等)中寻找可以用来证明或者反驳的证据，即电子证据。
除了那些刚入门的“毛小子”之外，计算机犯罪分子也会在作案前周密部署、作案后消除蛛丝马迹。他们更改、删除目标主机的日志文件，清理自己的工具软件，或利用反取证工具来破坏侦察人员的取证。这就要求我们在反入侵的过程中，首先要清楚我们要做什么？然后才是怎么做的问题。
物理取证是核心任务
物理证据的获取是全部取证工作的基础。获取物理证据是最重要的工作，保证原始数据不受任何破坏。无论在任何情况下，调查者都应牢记5点：(1)不要改变原始记录；(2)不要在作为证据的计算机上执行无关的操作；(3)不要给犯罪者销毁证据的机会；(4)详细记录所有的取证活动；(5)妥善保存得到的物证。如果被入侵的计算机处于工作状态，取证人员应该设法保存尽可能多的犯罪信息。
要做到这5点可以说困难重重，首先可能出现的问题就是无法保证业务的连续性页码：[1] [2] [3] [4] [5] 第2页、共5页 |
