cissp-2
对所有系统执行取证镜像（取证映像制作）
conducting forensic imaging of all systems
对所有系统执行取证镜像（取证映像制作）
拆解术语（网安/电子取证场景）
- forensic imaging：取证镜像（电子取证核心操作）
不是普通复制文件，是按位（bit-by-bit）对磁盘/存储做只读克隆，生成镜像文件（如E01、dd镜像），保留原始数据、删除痕迹、分区、空闲空间、未分配扇区，保证原始证据不被篡改，具备司法效力。 - all systems：全部系统（服务器、终端、工控机等涉案/待取证主机）
一句话解释
把所有涉事系统的硬盘做一份符合取证规范的原始镜像，原始设备封存不动，后续分析全部在镜像上操作，防止污染证据。
常见搭配
- create a forensic image 制作取证镜像
- forensic image acquisition 取证镜像采集
- write blocker 写保护锁（做forensic imaging必备工具，防止写入原始盘）
例句
We are conducting forensic imaging of all systems seized from the site.
我们正在对现场扣押的所有系统主机进行取证镜像。
要不要我顺便区分一下 forensic imaging 和普通 disk clone 的差别？
SLA和MTD的区别？
先分清两个缩写：
- SLA = Service Level Agreement 服务级别协议（合同/承诺）
- MTD = Maximum Tolerable Downtime 最大可容忍停机时间（业务底线，灾备/业务连续性）
很多人会混淆 MTTD（Mean Time To Detect，平均检测时间，SOC取证常用），下面我一并说明
一句话核心区别
✅ SLA：服务商对客户的正式承诺（带罚则），说“我保证给你做到什么水平”
✅ MTD：业务自己的底线，说“超过这个停机时间，业务就扛不住了、损失不可接受”
SLA（Service Level Agreement）
- 性质：协议、合同条款，甲乙双方约定
- 视角：服务交付承诺
- 例子：99.9%可用性、故障响应30分钟、工单4小时解决；达不到会有赔偿、扣服务费
- 关注点：对外承诺、考核、赔付
- 来源：IT服务、云服务商、外包合同
MTD（Maximum Tolerable Downtime）
- 性质：业务风险阈值（业务影响分析BIA得出），不是对外合同
- 视角：业务能扛多久
- 定义：业务流程中断，到产生严重不可逆损失前，最长允许停机时长（NIST定义）
- 关注点：业务生死线，用来倒推RTO、灾备架构
- 关系：MTD ≥ RTO + 业务恢复时间；你的恢复能力必须在MTD之内
- 例子：支付系统MTD=30分钟，停超30分钟资金损失、监管处罚就扛不住
对比表
| 项目 | SLA | MTD |
|---|---|---|
| 全称 | Service Level Agreement | Maximum Tolerable Downtime |
| 本质 | 服务合同承诺 | 业务容忍上限（风险指标） |
| 给谁看 | 客户、外部甲方 | 内部业务、灾备团队 |
| 违约后果 | 罚款、赔付、扣服务费 | 业务重大损失、合规事故 |
| 用途 | 约定服务质量、考核供应商 | 设计灾备方案、定RTO |
| 和RTO关系 | SLA里经常写RTO作为承诺指标 | MTD是RTO的上限红线 |
补充：MTTD（Mean Time To Detect，平均检测时间），网安取证/应急响应里高频出现：威胁从入侵成功到被发现，平均耗时。这是安全运营KPI，和上面两个完全不是一类东西，你前面看的forensic imaging取证场景里经常出现MTTD。
简单例子
电商结算系统：
- 业务BIA评估：停机超过1小时，退款、客诉、监管处罚爆炸 → MTD=1小时
- 找云厂商签合同：约定故障45分钟内恢复，可用性99.95%，超时赔付 → SLA=45分钟恢复
👉 这里SLA（45min）必须小于MTD（60min），留安全余量。
配套全家桶（网安/灾备面试高频）
- MTD：业务最多扛多久
- RTO：目标恢复时间（系统恢复）
- RPO：最多丢多久数据
- SLA：对外承诺
- MTTD：威胁多久才被发现
- MTTR：发现后多久修好
如果你需要，我可以给你一段可直接写进灾备方案里的定义文本。