封闭计算机系统中的电子证据
分类: 执法监管
封闭计算机系统指未连接局域网或互联网的计算机。储存在此类计算机中的、具有电子证据性质的计算机数据之载体主要是计算机硬盘。根据计算机数据产生的性质,可简单将其分为系统数据与用户数据两类。
Windows系列操作系统和UNIX是最常见也是应用最广的两种操作系统。鉴于操作系统使用之广泛性,本指引仅涉及Windows操作系统中,相关电子证据的固定采集。
从技术上说,几乎Windows操作系统中的每一项事务都可以在一定程序上被审计。因此,获取各种系统日志是确定电子证据的必要步骤。
访问Windows操作系统维护的各种日志可以获得以下信息:
1、确定计算机在某一时间段内被使用和登录系统的用户;
2、跟踪登录者对特定应用程序的使用;
3、跟踪审核策略的变更,看是否有防御性的策略变化;
4、跟踪用户权限(如非法提高的访问权限)的变化,以及用户和组的变更。
查看注册表是获得当前计算机中,可能具有电子证据性质的系统数据的有效途径。
在固定采集系统数据及用户数据时,为保护原始数据,确保证据的有效性不被破坏,通常情况下,采取以下三种方法进行数据备份,对系统进行完整复制:
1、利用磁盘镜像工具对移交的证据介质进行复制。
2、通过添加一个硬盘驱动器的方法创建映象。
3、通过网络发送映象。
无论以上述哪种方式固定采集系统数据,创建数据副本,都需要对原始驱动器和最后的映象文件执行数据完整性校验。
数据完整性校验可以通过专用的校验工具软件进行。建议使用专用的电子取证硬盘复制机(如TALON、QUEST)进行硬盘复制。上述设备均支持MD5 256位校验功能,确保原始数据与复制数据的一致性。
在封闭的计算机系统中固定采集电子证据,尤其应注意检查并固定采集下列文件:
1、扩展名为.pst的Microsoft Outlook电子邮件文件。
Windows系列操作系统默认的存储路径为:Documents and SettingsLocal SettingsApplication DataMicrosoftOutlook ;
2、回收站中的文件;
3、扩展名为.tmp的检查临时文件;
4、恢复被删除的文件,有相当多的工具软件如Norton可以恢复系统中被删除的文件;
5、Internet历史记录;
展开阅读全文