1. 事前准备与合法授权

1) 明确目标与法律路径：任何进入或接触目标设备前，须取得当地执法机关授权（搜查令、扣押令或当事人书面同意），并与法律顾问确认跨境取证流程（MLAT/司法协助）。 2) 技术预案：准备取证工具（写保护器、取证镜像工具、RAM抓取工具、网络抓包设备、拍照设备、链条保存表格），并在操作前签署授权与风险评估报告。 3) 分工与通讯：指定技术负责人、法律联络人及保全人员，建立加密通讯通道并记录每一步决策。

2. 现场封锁与物证保全

1) 现场隔离：由执法人员先行封锁现场，切断对外网络或在保全授权下复制网络流量；若不能切断，应采用镜像端口或网络tap进行被动捕获。 2) 物证拍照与笔录：先对全景、设备序列号、连接线、硬盘、SIM卡等拍照，并由两名以上证人签字确认。 3) 防篡改措施：使用防拆封条、证据袋、法定标签并填写链条保全单，明确封存人、时间与位置。

3. 设备接收与易失数据采集

1) 易失性数据优先：在获得授权下先行采集RAM、活动网络会话、进程列表、打开的文件与临时日志，推荐使用经过验证的RAM采集工具并在取证台上运行。 2) 远程存取注意：如需远程抓取（例如云主机或远程PBX），必须有提供方的书面同意或司法文书，记录全部API/会话与时间戳。 3) 时间同步记录：记录现场设备时间、时区与NTP状态，为后续时间线比对准备依据。

4. 硬盘与存储介质镜像步骤

1) 使用写保护器：对物理硬盘、SSD、移动盘等全部采用硬件写保护后进行镜像，避免改变原始证据。 2) 镜像工具与校验：使用被业界接受的工具（如FTK Imager、Guymager、dd with verification）制作镜像，并生成MD5/SHA256哈希值，保存原盘与镜像的校验值与日志。 3) 可重复性与多份备份：生成至少一份工作副本和一份冷备份，工作副本用于分析，冷备份用于法庭保全，全部备份加密存储并记录访问日志。

5. 网络与通信证据采集（针对机房场景）

1) 收集PBX与VoIP日志：在得到授权后导出Asterisk/FreeSwitch等PBX配置、通话记录（CDR）、SIP抓包（pcap），并记录注册信息与IP关联。 2) 抓包与流量分析：使用tcpdump或Wireshark在镜像端口被动抓取流量，注意避免注入或中断通讯；保存原始pcap并对会话做时间线分析与呼叫关联。 3) 云与第三方日志：向ISP、云服务商提出书面日志保存请求，按司法协助要求获取访问、控制台与API日志。

6. 证据链管理与数据保护要求

1) 链条文件化：每一次接触、复制、移动、分析操作都应记录在链条清单中（Who/What/When/Where/Why），并由操作人签名。 2) 存储与加密：所有证据副本使用强加密（AES-256或同级）存储，密钥管理采用分离职责并有审计记录。 3) 隐私与最小化原则：对无关第三方个人数据进行屏蔽或脱敏，严格限定访问权限，只有参与案件分析的授权人员才能解密访问。

7. 取证分析方法与工具合规使用

1) 工具选型与验证：使用商业或开源取证工具前需进行工具验证并记录版本、配置与校验结果，以保证可重复性与法庭可认证性。 2) 分析记录：每一条分析结论应能回溯到具体证据文件、工具输出与时间戳，生成可审计的分析报告。 3) 报告格式：以事实为基准、使用可验证的哈希、时间线与证据关联图表，不做主观推断，保留原始数据供对方核查。

8. 跨境司法协助与合作流程

1) 启动司法协助：通过本国司法机关向柬埔寨对应机构提出MLAT或司法协助申请，附上证据保全理由与紧急保存请求（Evidentiary Preservation Letter）。 2) 本地联络：建议邀请柬埔寨执法或司法鉴定部门共同参与现场或远程鉴定，利用其权限完成合法访问与询问。 3) 文书与翻译：所有法律文书与证据文件应翻译并公证，确保移交时能在当地法庭被接受。

9. 证据呈堂要求及可采性注意事项

1) 可采性标准：确保证据采集过程合法、链条完整、工具与方法可重复并有第三方见证，避免因程序瑕疵导致证据被排除。 2) 专家证人准备：准备技术报告、操作日志与专家说明，必要时由取证人员出庭说明采集与分析过程。 3) 反驳与保全对策：保存原始媒体，避免在分析中对原件做任何改写，若必须修改，应由独立第三方先行复制。

10. 事件响应后的长期数据管理与合规

1) 归档政策：依据案件类型与法律要求设定证据保存期并实施定期审计，敏感信息需分级归档管理。 2) 访问审计与销毁：所有证据访问保留审计日志，非法或不当访问须追责；证据到期后按法律程序安全销毁并记录销毁链条。 3) 合规培训：对技术支持与取证团队定期培训法律合规、证据保全与隐私保护，建立SOP并演练。

11. 问：在柬埔寨取证是否必须通过本地警方或司法授权？

答：是的。未经柬埔寨当地执法或司法机关授权，任何进入机房、复制服务器或截取通信都可能构成非法侵入或侵犯隐私，应通过MLAT/司法协助、搜查令或当事人授权进行合法取证，并建议本地执法人员参与或见证。

12. 问：如何确保证据在跨境传输过程中的安全与合规？

答：采取强加密存储与传输（例如端到端加密与AES-256加密容器）、分级密钥管理、详细链条记录与司法文件支持；同时预先与接受国确认可采性要求，并使用受信任的传输渠道或在司法协助框架下移交。

13. 问：作为技术支持人员，能做哪些不违法的具体操作来协助取证？

答：可以做的包括准备并验证取证工具、记录与拍照现场情况、在法律授权下协助制作镜像与抓取易失性数据、生成并保存哈希值、维护链条文件、协助与云/ISP沟通请求日志以及为执法部门提供技术咨询，但不得擅自远程登陆、绕过认证或破坏设备安全。

来源：技术支持角度攻破诈骗机房柬埔寨的取证技术与数据保护要求