信息系统安全与对抗技术 学习笔记(8)：信息安全取证技术

1.计算机取证是指对能够为法庭接受的、足够可靠和有说服力的、存在于计算机和相关外设中的电子证据的确认、保护、提取和归档的过程，它能推动或促进犯罪事件重构，或者帮助预见有害的未经授权的行为。

• 在犯罪进行过程中或之后收集证据
• 重构犯罪行为
• 为起诉提供证据

2.电子证据

• 在计算机或计算机系统运行过程中产生的以其记录的内容证明案件事实的电磁记录物。
• 特点
  — 表现形式的多样性
  — 存储介质的电子性
  — 准确性
  — 脆弱性
  — 数据的挥发性
  — 可以被精确的复制
  — 很容易鉴别当前的电子证据是否有改变
  — 完全销毁电子证据是比较困难的
• 常见证据
  — 计算机系统
  — 自动应答设备
  — 数码相机
  — 手持电子设备
  — 联网设备
  — 打印机
  — 扫描仪
  — 其他电子设备

3.取证过程

• 在取证检查中，保护目标计算机系统
• 搜索目标系统中所有的文件
• 全部（ 或尽可能） 恢复所发现的已删除文件
• 最大程度展示操作系统或应用程序使用的隐藏文件、临时文件和交换文件内容
• 访问被保护或加密文件的内容
• 分析磁盘的特殊区域以发现有价值的数据
• 打印
• 给出必需的专家证明