7、数字取证中的存储介质、证据获取与处理

数字取证中的存储介质、证据获取与处理

1. 存储介质与分页文件

在当今的笔记本电脑和台式机中，常见的内存类型主要是DDR3和DDR4，但也可能会遇到使用DDR2的旧服务器等遗留设备。笔记本电脑使用的DDR内存采用更紧凑的小型双列直插式内存模块（SODIMM）。

操作系统能够将硬盘的一部分用作内存（RAM）的扩展，这被称为虚拟内存。对于内存有限的计算机或笔记本电脑来说，这是个不错的选择。尽管硬盘速度比内存慢得多，但硬盘上的交换或分页文件可以存储访问频率较低的文件和程序，使内存可用于存储频繁访问的数据。分页文件在数字取证调查中非常重要，在Windows系统中它是一个名为pagefile.sys的隐藏文件，可通过工具进行检查，该文件可能会揭示加密区域的密码、访问过的网站信息、打开的文档、登录用户以及打印内容等。

机械硬盘上的数据通常以碎片化的方式存储，而分页或交换文件的优势在于数据可以连续存储，从而实现更快的访问速度。建议将分页文件的大小设置为内存容量的1.5倍，并尽可能将其存储在单独的驱动器上，而非仅仅是单独的分区。pagefile.sys可以在Windows注册表路径HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management中找到。

数据存储在非易失性存储介质中，即使断电数据也不会丢失，包括各种类型的硬盘（如机械硬盘、固态PATA和SATA硬盘）、闪存驱动器和存储卡等。较新的存储设备（如SSD）使用NAND闪存来存储数据，这种闪存比传统机械硬盘更快、更耐用，因为设备中没有移动部件，但目前成本仍然较高。

数据有不同的状态，包括静止、传