本发明公开了一种用于终端攻击的取证溯源方法、装置以及计算机设备，包括：获取取证溯源请求；根据取证溯源请求获取待取证溯源的进程、文件或事件对应的对象以及该对象的所有标签以及与各个标签相关的事件的事件信息，将该对象添加至预先构建的攻击图中；将该对象对应的所有标签添加至预先建立的标签集合中；遍历标签集合，针对每一个标签，获取该标签对应的对象并添加至攻击图中，同时获取该标签的关联标签加入标签集合中进行遍历。本发明的取证溯源方法、装置、计算机设备通过解释这个对象上所有标签的来源，依据标签的产生过程溯源，以迅速构造一个相对完整的攻击图，大大降低了存储消耗和计算量，提高了取证溯源方法应用的普适性。