数字取证事件调查

整合经授权的数字证据保全、端点与云 Artifact、时间线和假设证据，供合格人员开展 DFIR 审查。

点击后唤起已安装的 OpenCorvus 桌面端；客户端会重新下载并校验这一精确 revision，再由你选择安装 scope。还没有桌面端？先安装 OpenCorvus

有界执行图

工作流与交接

下图展示每一步由谁负责、依赖哪一步完成。它解释团队的协作契约，不是正在执行的任务进度，也不会在网页上排程 Agent。

固定 revision · 1 条工作流 · 5 个节点 · 5 个 Agent

固定 revision17893333

01数字取证事件调查审查5 个节点

01digital-evidence-authority-preservation-analyst固化调查授权、事项范围、法定保全、系统、保管责任人、许可方法和证据保管要求。起点
02endpoint-memory-disk-artifact-analyst检查所提供的端点、内存镜像和磁盘镜像 Artifact 观察结果，并保留工具与解析器溯源。起点
03network-cloud-identity-artifact-analyst将所提供的网络、云审计和跨帐户、设备、会话和服务的身份 Artifact 关联起来。起点
04incident-timeline-hypothesis-corroboration-analyst构建标准化且保留来源信息的事件时间线，并检验相互竞争的事件假设。起点
05digital-forensics-incident-evidence-owner将授权范围、端点、分布式 Artifact 和时间线假设整合为保留矛盾的审查资料包。← digital-evidence-authority-preservation-analyst + endpoint-memory-disk-artifact-analyst + incident-timeline-hypothesis-corroboration-analyst + network-cloud-identity-artifact-analyst

证据输出1

用于边界明确的数字取证事件证据工作，不执行实时采集、遏制或归因。

以下阵容来自这一精确能力包。每个 Agent 的身份与基础角色都会进入实际运行；头像、评分或人设不参与选择。

数字证据授权与保全分析师explore固化调查授权、事项范围、法定保全、系统、保管责任人、许可方法和证据保管要求。
端点、内存和磁盘 Artifact 分析师delegated-worker检查所提供的端点、内存镜像和磁盘镜像 Artifact 观察结果，并保留工具与解析器溯源。
网络、云和身份 Artifact 分析师delegated-worker将所提供的网络、云审计和跨帐户、设备、会话和服务的身份 Artifact 关联起来。
事件时间线、假设和佐证分析师delegated-worker构建标准化且保留来源信息的事件时间线，并检验相互竞争的事件假设。
数字取证事件证据负责人delegated-worker将授权范围、端点、分布式 Artifact 和时间线假设整合为保留矛盾的审查资料包。

下图展示每一步由谁负责、依赖哪一步完成。它解释团队的协作契约，不是正在执行的任务进度，也不会在网页上排程 Agent。

digital-forensics-incident-review

四个独立证据起点汇聚至一名职责明确的合格审查负责人。

01digital-evidence-authority-preservation-analyst固化调查授权、事项范围、法定保全、系统、保管责任人、许可方法和证据保管要求。depends_on: []
02endpoint-memory-disk-artifact-analyst检查所提供的端点、内存镜像和磁盘镜像 Artifact 观察结果，并保留工具与解析器溯源。depends_on: []
03network-cloud-identity-artifact-analyst将所提供的网络、云审计和跨帐户、设备、会话和服务的身份 Artifact 关联起来。depends_on: []
04incident-timeline-hypothesis-corroboration-analyst构建标准化且保留来源信息的事件时间线，并检验相互竞争的事件假设。depends_on: []
05digital-forensics-incident-evidence-owner将授权范围、端点、分布式 Artifact 和时间线假设整合为保留矛盾的审查资料包。depends_on: digital-evidence-authority-preservation-analyst, endpoint-memory-disk-artifact-analyst, incident-timeline-hypothesis-corroboration-analyst, network-cloud-identity-artifact-analyst