SDelete 学习笔记（9.15）：安全擦除、不可恢复与合规清退实践

[SDelete 学习笔记（9.15）：安全擦除、不可恢复与合规清退实践](#SDelete 学习笔记（9.15）：安全擦除、不可恢复与合规清退实践)
- 你将收获
- [1）SDelete 是什么？为何"删除≠不可恢复"](#1）SDelete 是什么？为何“删除≠不可恢复”)
- 2）高频使用场景（对号入座）
- 3）命令行速查（模板即用）
- - [3.1 参数表（常用）](#3.1 参数表（常用）)
  - [3.2 定点擦除：文件/文件夹](#3.2 定点擦除：文件/文件夹)
  - [3.3 清理空闲空间（已删除数据"回不来"）](#3.3 清理空闲空间（已删除数据“回不来”）)
  - [3.4 镜像压缩前归零（让压缩效果显著）](#3.4 镜像压缩前归零（让压缩效果显著）)
  - [3.5 批量清理（多卷遍历）](#3.5 批量清理（多卷遍历）)
- 4）原理一图读懂（要点）
- [5）SSD / TRIM / 全盘加密：最易踩的坑与对策](#5）SSD / TRIM / 全盘加密：最易踩的坑与对策)
- [6）操作前后 Checklist（让审核/领导看得懂）](#6）操作前后 Checklist（让审核/领导看得懂）)
- [7）实用脚本：一键操作 + 日志留存](#7）实用脚本：一键操作 + 日志留存)
- - [7.1 一键清理空闲并归档日志（批处理）](#7.1 一键清理空闲并归档日志（批处理）)
  - [7.2 PowerShell：定点+清空空闲（可指定 passes）](#7.2 PowerShell：定点+清空空闲（可指定 passes）)
- 8）FAQ（两行见招拆招）
- 小结

SDelete 学习笔记（9.15）：安全擦除、不可恢复与合规清退实践

适用人群：运维/安全/取证、等保/合规负责人、处置离职设备/退租云盘/对外交付介质的同学

目标：用 SDelete 正确完成"可验证的不可恢复删除"，并避坑 SSD/TRIM 等场景

你将收获

SDelete 的工作原理（为什么删除≠不可恢复）
典型场景清单：文件定点擦除、清理空闲空间、VHD 压缩前归零
命令模板与参数表（一次带走）
SSD/TRIM/加密盘下的正确姿势与合规建议（NIST 800-88 思路）
验证与留痕：怎么证明"清退已完成"

1）SDelete 是什么？为何"删除≠不可恢复"

定位：Sysinternals 出品的安全擦除 工具，支持对单个文件/文件夹 、卷空闲空间 进行覆盖，使被删除数据难以通过取证工具恢复。
原因：常规删除仅改目录项/MFT ，数据页仍在磁盘上；SDelete 通过写入覆盖模式 （0/随机/多次）来抹除残留；清理空闲空间时会写满卷的 free space 与MFT 空闲记录，消除"已删除文件"的痕迹。

2）高频使用场景（对号入座）

定点擦除敏感文件：合同、密钥、数据库导出等
项目交付/退租 ：在不格式化 前提下，先清空卷空闲空间
压缩 VHD/VHDX/虚机镜像 ：先 zero-fill 再 Compact，体积明显下降
二手/转移设备（无全盘加密）临时"补救"
误传、合规纠偏：删帖/删文件还不够，需要可审计的擦除记录

3）命令行速查（模板即用）

3.1 参数表（常用）

参数	含义	备注
`-p <n>`	覆盖次数（passes）	一般 1--3 次足够；次数越多越慢
`-s`	递归子目录	擦除文件夹常用
`-q`	静默	管道/批处理友好
`-c <卷>`	清理空闲空间	覆盖卷上"可回收"的已删数据
`-z <卷>`	用 0 填充空闲	便于 VHD/镜像压缩
`-accepteula`	静默接受 EULA	首次运行免交互

注：部分版本还支持 -nobanner 等通用开关；以 sdelete /? 为准。

3.2 定点擦除：文件/文件夹

cmd 复制代码

:: 单个文件，1 次覆盖（快）
sdelete -accepteula -p 1 D:\secrets\key.pem

:: 目录递归，3 次覆盖（更稳）
sdelete -accepteula -s -p 3 D:\Exports\*.csv

3.3 清理空闲空间（已删除数据"回不来"）

cmd 复制代码

:: 清理 C 盘空闲区域（建议先清空回收站/临时目录）
sdelete -accepteula -c C:

3.4 镜像压缩前归零（让压缩效果显著）

cmd 复制代码

:: 先归零空闲，再做 VHD/VHDX/VM 压缩
sdelete -accepteula -z D:

3.5 批量清理（多卷遍历）

cmd 复制代码

for %%v in (C: D: E:) do sdelete -accepteula -c %%v -q

4）原理一图读懂（要点）

定点擦除：定位文件 -> 覆盖其数据簇 -> 释放目录项
清理空闲：创建巨型临时文件写满"空闲簇"与 MFT 空闲记录 -> 删除临时文件
归零：与清理空闲类似，但用 0 写入（更利于镜像压缩）

5）SSD / TRIM / 全盘加密：最易踩的坑与对策

SSD+TRIM ：控制器与磨损均衡机制可能让覆盖不可预测 ；对"彻底清除"目标，不建议仅靠文件级覆盖 。
- 更优：启用全盘加密（BitLocker/硬盘自加密） ，交付/报废时执行**加密密钥销毁（Crypto-Erase）**或厂商 Secure Erase/Sanitize/PSID Revert。
NIST 800-88 Rev.1 合规思路：
- Clear ：逻辑覆盖（SDelete 清空空闲、定点覆盖）适用于低/中风险介质再利用
- Purge：加密擦除/固件 Sanitize（适合中/高敏）
- Destroy：物理销毁（最高敏/出库报废）
虚机/云盘 ：更偏向 镜像层面的快照/销毁策略 + -z 归零提升镜像压缩回收率。
注意：对系统盘正在使用的文件 （如 pagefile/hiberfil/注册表 Hives）无法直接定点擦除；需借助空闲清理 或离线介质操作。

6）操作前后 Checklist（让审核/领导看得懂）

操作前

列表化目标：哪些文件/卷需要处理；风险级别
关回收站/临时目录；停掉会持续生成临时/日志的服务
预估时间与磁盘剩余空间（清理空闲会写满磁盘）

执行中

使用 -q 静默、重定向输出到日志
监控磁盘"几乎写满"属正常，等待释放

操作后

验证：取样跑恢复工具（如只做内部自检，不建议在生产环境安装三方取证工具，可在隔离环境验证同类样本流程）
留痕：保留命令、参数、目标列表、开始/结束时间、Hash 清单（如有）
归档：在交付/退租工单中挂上操作报告与日志

7）实用脚本：一键操作 + 日志留存

7.1 一键清理空闲并归档日志（批处理）

cmd 复制代码

@echo off
set LOG=C:\SDeleteLogs
if not exist "%LOG%" md "%LOG%"
set TS=%DATE:~0,10%_%TIME:~0,8%
set TS=%TS::=-%
set TS=%TS: =%
set OUT=%LOG%\sdelete_%COMPUTERNAME%_%TS%.log

echo === SDelete Start %DATE% %TIME% === > "%OUT%"
echo Step1: Clear free space C: >> "%OUT%"
sdelete -accepteula -c C: -q >> "%OUT%" 2>&1

echo Step2: Zero free space C: >> "%OUT%"
sdelete -z C: -q >> "%OUT%" 2>&1

echo === Done %DATE% %TIME% === >> "%OUT%"
type "%OUT%"

7.2 PowerShell：定点+清空空闲（可指定 passes）

powershell 复制代码

param([int]$Passes=1, [string]$Path="D:\Sensitive")

$log="C:\SDeleteLogs\ps_$(Get-Date -f yyyyMMdd_HHmmss).log"
New-Item -Force -ItemType Directory (Split-Path $log) | Out-Null

"== Start $(Get-Date) ==" | Tee-Object -FilePath $log
& .\sdelete.exe -accepteula -s -p $Passes $Path -q | Tee-Object -FilePath $log -Append
& .\sdelete.exe -c C: -q | Tee-Object -FilePath $log -Append
"== End $(Get-Date) ==" | Tee-Object -FilePath $log -Append

8）FAQ（两行见招拆招）

清理空闲卡得很久/磁盘满了？ 正常现象，写满→删除临时文件→空间恢复。确保有少量可用空间以便系统运行。
能 100% 不可恢复吗？ 受介质与控制器影响，文件级覆盖无法做绝对保证 。对高敏数据请采用 全盘加密 + Crypto-Erase 或厂商 Secure Erase/Sanitize。
覆盖次数越多越好？ 超过 3 次的收益很小但耗时显著增加；现代磁介质+合规更看重流程与证据而非极端 passes。
SSD 会不会伤盘？ 会带来额外写放大；谨慎评估寿命，尽量用加密擦除/厂商 Sanitize。

小结

SDelete 适合操作系统层 的定点擦除 与空闲空间清理/归零；
SSD/高敏合规 请优先采用 全盘加密+密钥销毁 或 设备级 Sanitize；
把命令+参数+日志 纳入清退工单，做到可验证、可追溯。

下一篇（9.16）：Autologon ------ 安全使用自动登录：场景、风险与替代方案。