保存证据
本课属于 Coddy Cybersecurity 学习旅程的“调查安全漏洞”单元。第 4 课，共 20 课。
停止程序会改变你能看到的内容。清理计算机前，先保存能说明当时情况的证据。
在这个实验中，保全会保存计算机文件、进程、启动项、连接和日志的快照。它会保留当时的运行状态：
seclab preserve practice-laptop你应该会看到：
Preserved evidence for practice-laptop. SHA-256: 6df009810bd29a3bb0c95acdd17e343245ff236e94ca684396b71b562a3476b4这串较长的 SHA-256 值用于标识保存的快照。读取已保存的证据，检查副本是否存在：
seclab inspect evidence查找以下几行：
practice-laptop:
SHA-256: 6df009810bd29a3bb0c95acdd17e343245ff236e94ca684396b71b562a3476b4保全证据不会阻止攻击。它会保存记录，让你采取行动时不会丢失原始情况。读取记录不会推进实验时钟，进行更改则会。之后的工单可能需要你先保存证据，然后迅速采取行动。
挑战
简单来自 IT 负责人 Sam 的工单
趁辅助程序还在运行时，保存 design-laptop 中的证据。Sam 需要原始进程和连接记录，以便批准清理。检查证据是否存在，并确保已批准的备份和 Lumen 的结账服务正常运行。
亲手试试
终端
自我测试这节课包含一个小测验。开始学习即可作答，并记录你的进度。