频道栏目
首页 > 安全 > 系统安全 > 正文

计算机取证的一般步骤

2012-11-10 14:58:18            作者:sasa
收藏   我要投稿
  由于电子证据的特殊性,计算机取证的原则步骤有其自身的特点,不同于传统的取证过程,在取证过程中要特别注意。
    实施计算机取证要遵循以下基本原则:
尽早搜集证据,并保证没有受到任何破坏,如销毁或其他方式的破坏,也不能被取证程序本身破坏。
必须保证取证过程中计算机病毒不会被引入目标计算机。
必须保证“证据连续性”(Chain Of Custody),即在证据被正式提交给法庭时必须保证一直能跟踪证据。
整个检查、取证过程必须是收到监督的。
必须保证提取出来的可能有用的证据不会受到机械或电磁损坏。
被取证的对象如果必须运行某些商务程序,要确保该程序的运行只能影响一段有限的时间。
在取证过程中,应当尊重不小心获取的任何关于客户代理人的私人信息,不能把这些信息泄漏出去。
    这些基本原则对计算机取证的整个过程有指导意义。计算机取证过程一般可划分为三个阶段:获取、分析和保存。
    获取阶段保存计算机系统的状态,以供日后分析。这与从犯罪现场拍摄照片、采集指纹、提取血样或轮胎类似。由于并不知道哪些数据将作为证据,所以这一阶段的任务就是保存所有的电子数据,至少要复制硬盘上所有已分配和未分配的数据,这就是通常所说的映像。
    分析阶段取得已获得的数据,然后分析这些数据,确定证据的类型。寻找的证据主要有三种:
使人负罪的证据,支持已知的推测
辨明无罪的证据,同已知的相矛盾
篡改证据,此证据本身和任何推测并没有联系,但是可以证明计算机系统已被篡改而无法用来作证。
此阶段包括检查文件目录内容以及恢复已删除的内容。在这一阶段应该用科学的方法根据已发现的证据推出结论。
陈述阶段将给出调查所得结论及相应的证据,这以阶段应依据政策法规行事,对不同的机构采取不同的方式。比如,在一个企业调查中,听众往往包括普通辩护律师、智囊团和主管人员,可以根据企业的保密法规和公司政策来进行陈述。而在法律机构中,听众往往是法官和陪审团,所以需要律师事先评估证据。
    根据这三个阶段及其注意事项,可以看出,计算机取证工作一般按照一下步骤进行:
保护目标计算机,避免发生任何改变、伤害、数据破坏或病毒感染。
搜索目标文件系统中的所有文件。包括现存的正常文件,已经被删除但仍存在于磁盘上(即还没有被新文件覆盖)的文件,隐藏文件,受到密码保护的文件和加密文件。
尽可能全部恢复所发现的已删除文件。
最大程度显示操作系统或应用程序使用的隐藏文件、临时文件和交换文件的内容。
如果可能且法律允许,访问被保护或加密的文件内容。
分析在磁盘的特殊区域中发现的所有相关数据。
打印对目标计算机系统的全面分析结果,以及所有可能有用的文件和被挖掘出来的文件数据的清单。然后给出分析结论,包括系统的整体情况,已发现的文件结构、被挖掘出来的数据和作者的信息,对信息的任何隐藏、删除、保护和加密企图,以及在调查中发现的其他的相关信息。
给出必需的专家证明和(或)法庭上的证词。
相关TAG标签 步骤 计算机
上一篇:由MySql漏洞导致电脑被入侵(特征为新增加名为piress的帐户)所想到的
下一篇:android无权限伪造短信
相关文章
图文推荐

关于我们 | 联系我们 | 广告服务 | 投资合作 | 版权申明 | 在线帮助 | 网站地图 | 作品发布 | Vip技术培训 | 举报中心

版权所有: 红黑联盟--致力于做实用的IT技术学习网站