录播仅限今日（2025年11月14日，星期五）可用。此后将永久删除。 注册访问链接：https://www.suspectbehindthekeyboard.com/offers/S2W6hwau
这不是一个案例研究。不是娱乐节目。也不是为会议准备的精致内容。这是我对自己经手案件的“尸检”，而我以前从未、也从未打算重新审视我的任何案件。我之所以做这次分享，不仅因为这是我自己（没有客户参与，只是我个人）的案件，更因为我学到了一些东西，我认为这些本应在我们的教育和培训路径中的某个时刻就教会我们。
这次演讲关乎那些你所信赖的程序，当你周围的系统不再像教科书所坚持的那样运作时，当你被迫面对那些你未曾察觉却持续犯下的错误时，这些程序可能会崩溃。
我从事刑事和民事案件工作数十年。我曾出庭作证，接受盘问，受到质疑、取证、攻击和伏击。我曾以为自己理解这个系统如何运作。我错了。
而我是在最糟糕的情况下学到这一点的：独自一人，自行辩护，对抗一个与近二十个其他机构相关联的政府机构，一个诉讼预算数十万美元远超我预算的机构。
超过500人注册了这次网络研讨会。大部分都出席了。还有许多其他人观看了录播。据告知，现场参与者中可能就有一位来自该机构本身。我已将所有内容做了脱敏处理：姓名、识别标识、整个证据链。因为这无关那个机构，而是关乎你的案件、你的工作流程、你的假设、你的文档记录，以及当你遭遇从未准备过的情况的那个时刻。
调查反馈直言不讳。所有人都认为这一个小时物有所值。几乎所有人都指出了同一个模式： “我完全不知道我的工作流程如此脆弱。” 是的，我的工作流程也曾如此。不过，现在不再是了。
以下是人们承认通过这个案例现在看到了自己工作中的失误。如果你从事DFIR（数字取证与事件响应）足够久，你终将遇到这些情况。它们是否会毁掉你的案子或你的信誉，完全取决于你是否能提前看到危险。
1. 你假设当你请求时，证据仍会存在
这是DFIR、私营部门工作、刑事调查和公司事务中最常见、最危险的假设。不要假设在你想要扣押或要求出示时，某样东西还会存在。 在这个案例中，系统“死亡”、设备消失、日志未保留、关键记录在请求和出示之间“蒸发”了。我理所当然地认为后台有自动化流程在运行。但实际上没有。这是我的一个错误，因为我的部分案情依据于此。
2. 你的报告结构将在对抗性压力下崩溃
这一点很伤人，因为我在这个案子中遇到了好几次。 我十年前写的一篇五页文章中的一句话里挑出的一个短语，被断章取义，用来攻击我。 大多数DFIR报告并非为了经受对抗性剖析而撰写。它们是为内部清晰或团队可读性而写的。抱有敌意的律师不在乎你的清晰度，他们在乎你的漏洞。
3. 证据链的薄弱环节并非“小问题”，而是攻击面
人们把证据链（CoC）上的缺口当作文书上的小麻烦。 它们不是。它们是对手改写你叙事的最简单途径。 如果你留下一个缺口，别人就会去填补它、构建它、描述它，而且不会对你有益。他们不需要撒谎，他们只是重新解释你没有充分记录的内容。我曾相信我的措辞很严谨，但它们还不够严谨。又一次，我的错误。
4. 你的术语很可能经不起推敲
如果你无法在宣誓后精确地定义你自己的术语，那么这些术语就不属于你。它们属于挑战并重新定义它们的人。 我曾以为一个定义是普遍理解的，结果它被一个在网上找到的、晦涩的90年代解释所曲解，并在一份针对我的动议中使用。我是对的并不重要，重要的是我留下了重新解释的空间。 模糊是DFIR从业者负担不起的奢侈品。
5. 你是在为友善的问题做准备，而不是为敌对的问题
大多数人准备交叉质询就像准备求职面试一样：友善的问题、可预测的路径、温和的着陆。法庭上发生的情况并非如此。 最危险的交叉质询并非咄咄逼人，而是友好、对话式、让你卸下防备的。 然后，就在你放松的时候，你意识到你已经踏进了一个你未曾预见的陷阱。
6. 你的工作流程存在你尚未察觉的故障点
我的错误并不极端。它们是良性的、典型的、微妙的：
- 假设
- 定义
- 措辞
- 范围
- 文档记录 这些是人们常说“没关系”的东西，因为忽视它们时从未发生过坏事。直到真的出事。你只有站在断层线上，才能感受到它的存在。
这个案子不会完全一样地发生在你身上。但其中的某些部分会。
- 消失的系统
- 失踪的设备
- 不合作的证据保管人
- 相互矛盾的日志
- 看似不以为然的法官
- 模糊的报告语言
- 被错误描述的证
- 对方律师曲解你十年前的文字
- 证据链缺口被放大成可信度问题 每个DFIR从业者都会面临这个问题的某种版本。大多数人要到为时已晚才会认识到危险。
为何录播仅限今日可用
本次网络研讨会不会被存档、重新包装、出售、复用或重复。其内容如果脱离上下文，会带来法律风险和职业风险。只有在完整上下文中呈现才有效。任何不完整的呈现都会产生误导。 一个第三方平台未经允许已经抓取了网络研讨会内容，将其切分成不连贯的“章节”，并试图从中牟利。我已提交DMCA下架通知。他们的版本不完整且破坏了上下文。
如果你在其他地方看到任何副本，请忽略它们。它们是错误的、缺乏上下文的，并且在法律上是危险的。我不是律师，本次演讲不包含任何法律建议。你得到的是一个DFIR从业者从始至终的案例视角，呈现给DFIR从业者。
录播今晚就会消失。这不是短期通知，而是最后通知。 👉 https://www.suspectbehindthekeyboard.com/offers/S2W6hwau
因为这个案子，我创建了 PSBK CASEWORK。 它是一个完整的、端到端的调查案例，从第一条线索到法庭，适用于民事和刑事案件工作。它包含推理、归因、文档记录、可辩护性，以及能防止网络研讨会中那些灾难的精确结构。这是一个我希望我曾接受过的那种方式的DFIR案例工作坊。 包含限量印刷的精装预发布版《Placing the Suspect Behind the Keyboard: DF/IR Investigative Strategies》。 👉 https://www.suspectbehindthekeyboard.com/psbk-casework — Brett Shavers