遭受拒绝服务攻击后，首要任务通常是恢复服务，但排障过程也可能覆盖日志、改变系统状态。遭受拒绝服务攻击后的证据保全流程，应在不妨碍必要防护的前提下，尽早固定原始记录，写清来源、时间和经手人。以下五步适用于不同规模的组织；具体数据来源会因网络架构和服务商而异。
第一步：先处置风险，同时记下事件时间线
发现异常后，记录首次告警、流量升高、服务受影响、采取缓解措施及恢复的大致时间，并注明时区。写明谁在何时执行了限流、封禁或切换等操作，以及操作前后观察到的现象。时间可精确到系统实际支持的粒度，不要事后凭记忆补成看似精确的时间。
应先由授权人员判断是否需要立即隔离或调整服务。不能为了取证延误必要的防护；如重启、扩容或清理临时文件无法避免，应先记录原因和操作，并尽可能保存操作前已有的监控数据。
第二步：按来源保存日志和网络记录
列出可能反映事件的系统和数据类型，例如防火墙、负载均衡器、Web 应用防火墙（WAF）、Apache 或 Nginx 访问日志、操作系统事件记录、云平台监控与工单记录。保存与事件有关的流量日志时，注明系统名称、日志所在位置、覆盖的起止时间及导出方式。
若已有抓包文件，保留原始文件及其采集设备、接口、过滤条件和采集时段等说明。没有抓包文件时，不要声称它能还原全部历史流量；事后采集只能反映采集开始后的情况。导出前后均留意隐私和权限，避免收集无关用户内容。
第三步：保留原件并进行哈希校验
尽量通过系统提供的只读导出、快照或归档功能保存数据，将原始副本与分析副本分开。对文件计算 SHA-256 等哈希值，并记录算法、文件名、大小和计算时间；交接或转存后可再次计算，核对内容是否变化。
哈希校验能帮助发现文件在保存后是否被改动，但不能单独证明文件来自哪个系统，也不能证明记录内容必然真实。因此，哈希值必须与来源说明、导出记录和经手信息一并保存。
第四步：建立清楚的证据交接记录
每份材料都应有对应的记录，形成可追溯的证据链。至少写明材料编号、来源系统、覆盖时间、采集人、采集时间、保存位置、哈希值，以及每次复制、移交或查阅的人员与时间。时间统一标注时区；若已知设备时钟与标准时间存在偏差，也记录偏差及其确认方式。
原始材料应存放在权限受控的位置，限制修改和删除权限，并保留访问记录。不要在原件上做筛选、重命名内容或添加标注；需要分析时，复制一份工作副本，并记录处理步骤。
第五步：核对时间线并及时联系相关服务方
将监控指标、服务器日志、网络设备记录和处置工单按时间排列，标出时间不一致、缺失或无法解释的部分。不同系统的时钟、日志保留周期和字段定义可能不同，不能仅凭单一来源推断攻击者身份或攻击规模。
如果关键数据由云服务商、托管商或网络运营商掌握，应尽早通过正式支持渠道提交事件时间范围、相关资源标识和所需记录类型，并保存请求编号与回复。日志能否提供、保存多久，取决于服务条款、配置和适用法律；如涉及诉讼、监管或个人信息，应咨询合格的法律专业人员。
常见问题
服务仍在受攻击时，可以先改配置吗？
可以，安全处置优先。记录修改人、时间、配置变化和理由，并在可行时先保存当时可取得的监控与日志。
哈希值能证明日志没有被伪造吗？
不能。哈希主要用于核对文件保存后的完整性，还需结合系统来源、访问权限、导出过程及交接记录判断可信度。
没有抓包文件，还能保全证据吗？
可以。服务器日志、设备记录、监控图表、云平台事件和处置工单仍可能提供有用线索；应如实注明缺少抓包及其他数据限制。
多久完成保全比较合适？
越早越好，尤其要尽快确认日志是否会轮转或到期删除。实际时限取决于系统设置与服务方政策，不宜假设所有记录都能长期保存。
归纳起来，遭受拒绝服务攻击后的证据保全流程不是单纯复制文件：还要记录处置过程、保留原始来源、核验完整性，并让每次交接可追溯。这样既能支持后续技术分析，也能减少因证据缺失或来源不明造成的判断困难。