电子取证和溯源

先修要求

• 操作系统、网络和系统安全基础。
• 能够使用 Linux、脚本和常见日志工具。
• 愿意严格遵守证据处理和隐私规范。

学习目标

• 建立证据保全、哈希和链路记录流程。
• 分析磁盘、内存、日志和网络证据。
• 重建攻击时间线和关键行为。
• 区分事实、推断和归因置信度。
• 撰写面向技术和非技术读者的取证报告。

教学组织

• 每周 2 次课堂：一次讲授核心概念，一次用于实验、论文讨论或项目评审。
• 课程按 16 周推进，每周都有可检查的作业、实验或项目里程碑。
• 强调可复现材料：代码、配置、数据、实验日志和报告需要能被助教或同学复查。

周计划

考核方式

课程项目

学生完成一个模拟事件响应案例，从原始证据中重建攻击过程、关键指标、影响范围和归因置信度。

课程政策

• 允许使用 AI 工具，但所有生成代码、实验记录和设计建议必须经过学生本人审查，并在报告中说明使用方式。
• 严禁提交不能解释的代码、证明、配置或实验结果；答辩时每名成员都需要解释自己负责部分的设计、测试和取舍。
• 迟交会影响迭代评分，但课程更看重可复现、可审计和可维护的结果，而不是临时堆砌。