电子数据取证

《电子数据取证》由会员分享，可在线阅读，更多相关《电子数据取证（18页珍藏版）》请在金锄头文库上搜索。

1、电子证据主要指存储于计算机、移动存储设备（SD 卡、CF 卡、手机卡等）、安防监控系统中的各类存储介质以及网络虚拟空间中的具有能辅助司法机构侦查取证及立案的各类文字、数字、图片、音频等资料。通常情况下，电子证据取证工作都是由专业的司法侦查取证人员来完成，对技术侦查人员的要求和对相关取证设备的掌握要求较高，除了提取恶意破坏存储介质或其他发生严重损害存储设备的情况下，一般在现场通过专业数据拷贝设备就能快速完成，而面对复杂的情况，如前面提到的存储介质发生严重故障，包括硬盘坏道、电机损坏以及视频监控设备遭人为破坏等，则需要的就不只是单单的复制拷贝设备，而需要根据故障的具体情况来选择修复硬盘或镜像文件，

2、甚至开盘换头操作了。而要实现这类故障存储介质的电子证据取证，就必须借助专业的技术、专业的设备、专业的操作环境（开盘需要在百级无尘室内进行），这样才能保证电子证据取证的完整性、安全性以及高效性。目前，我国的电子证据取证水平已经逐渐与国际接轨，相关技术甚至超越世界发达国家水平，领居世界前列，如效率源科技旗下的 Data Compass 数据恢复指南针、SDII9000 Frensics 超级鹰眼服务器及视频分析取证专版、SD Iphone Mobile 苹果手机恢复取证系统等都是国内电子证据取证技术的代表产品。近几年来，随着国内高科技案件的频现，国内的司法机构对电子证据也越来越重视，随着对电子证据

3、取证技术设备的需求也愈发明显，当前，国内已有众多司法取证机构应用了上述效率源厂商研发生产的电子证据取证设备，且取得良好的“技术辅助办案”效果。什么是电子取证技术：电子取证技术包括动态电子取证技术和静态电子取证技术，在司法取证实践中，取证人员经常会面临静态电子取证技术问题。静态电子取证技术是针对可能含有证据的非在线计算机、硬盘、软盘、光盘、存储卡、手机、PDA 设备等进行证据获取的技术，包括存储设备的数据恢复技术、隐藏数据的再现技术、加密数据的解密技术和数据过滤、数据挖掘技术等。电子取证技术发展水平：目前，在司法取证工作中，数据恢复常被用于电子证据的搜集提取中，这项技术主要用于把犯罪嫌疑人经过文

4、件删除或者格式化磁盘的数字证据恢复出来。由于磁盘的格式化只不过是对用于访问文件系统的各种表进行重新构造，删除文件的操作也仅是在文件头做删除标志，故原有的数据仍然存放在磁盘的空闲块列表中，因此可以通过数据恢复技术加以收集作为潜在的电子证据。电子取证技术相关产品：我国的电子取证技术，当前也取得了不少成绩与进步，其中最常见的数据恢复技术已经可以同全球发达国家的技术相媲美，如我国数据恢复研发企业效率源旗下的“3+1” 司法取证方案、 SDII9000F 视频取证设备更是在国际上备受瞩目，成为目前为止最具代表的电子取证设备。据了解，这类设备目前专供于国内外司法机构、取证单位，对其他行业还未正式开放发售。

5、事实上，从计算机取证软件和工具实现过程的分析中可以发现，当前国内外电子数据取证技术还存在很大局限性。这主要表现在两方面：（1）电子数据取证所面临的入侵者的犯罪手段和犯罪技术的变化。这主要是指反取证技术的发展。反取证技术就是删除或隐藏证据使取证调查失效，包括数据擦除、数据隐藏和数据加密等 3 类，这些都给取证工作带来新的挑战。（2）电子数据取证技术是一个新的研究领域，致力于专业技术研发的机构还比较少。尽管个别公司投入了大量的人力物力在研究上，但由于国内没有相关的专业技术认证标准，因此不仅使得我国研发公司在获证方面困难重重，也让取证部门在选择工具时缺乏可比性，这就使得取证权威性受到质疑。计算机取证

6、设备对 电 子 证 据 的 获 取 、 分 析 和 发 现 是 打 击 各 种 犯 罪 行 为 全 新 手 段 。 随 着 国内 涉 及 计 算 机 取 证 的 案 件 不 断 增 多 ， 法 律 部 门 越 来 越 需 要 精 确 、 高 速 、 多 功能 、 智 能 化 、 适 应 于 不 同 场 合 的 专 业 计 算 机 取 证 设 备 来 武 装 自 己 。 多 年 来 ，国 外 科 研 机 构 、 院 校 、 军 警 部 门 一 直 在 努 力 加 强 计 算 机 取 证 技 术 的 研 究 ， 研制 开 发 了 各 种 各 样 的 软 硬 件 产 品 ； 国 内 科 研 机 构

7、也 注 意 加 强 年 来 也 出 现 一 些专 业 的 计 算 机 取 证 产 品 。 硬 盘 作 为 计 算 机 最 主 要 的 信 息 存 储 介 质 ， 是 计 算 机 取 证 的 重 要 获 取 内 容 ，也 是 目 前 各 种 计 算 机 取 证 工 具 的 主 要 方 向 。 目 前 国 内 外 市 场 上 ， 用 于 硬 盘 拷贝 、 数 据 获 取 的 专 业 产 品 较 多 ： 有 为 司 法 需 要 而 特 殊 设 计 的 效 率 源 硬 盘 复 制机 Data Copy King、 MD5、 SF-5000、 SOLO II 硬 盘 拷 贝 机 ， 有 适 合 IT 业

8、硬 盘 复 制 需 要 的 SONIX 、 Magic JumBO DD-212 、 Solitair Turbo 、 Echo 硬 盘 拷 贝 机 ； 有 以 软 件 方 式 实 现 硬 盘 数 据 全 面 获 取 的 取 证 分 析 软 件 ，如 FTK 、 Encase 、 Parabens Forensic Replicator ； 有 综 合 软 件 获取 和 硬 拷 贝 方 式 的 取 证 勘 察 箱 ， 如 Image MASSter Road MASSter 、 “天宇 ”移 动 介 质 取 证 箱 、 “网 警 ”计 算 机 犯 罪 取 证 勘 察 箱 ； 此 外 ， 还 有

9、 通 过 USB 接 口 、 1394 接 口 、 PCMCIA 、 并 口 等 方 式 的 硬 盘 获 取 设 备 及 附 件 ，如 LinkMasster II 、 CloneCard 、 USB WriteProtect 、 Desktop WriteProtect 、 “天 宇 ”全 能 拷 贝 王 等 等 。 如 何 充 分 地 利 用 这 些 已 有 的 计算 机 取 证 工 具 ， 提 高 国 内 法 律 部 门 的 计 算 机 取 证 水 平 ， 有 效 地 打 击 犯 罪 行 为具 有 重 要 的 意 义 。电子物证目录电子的物证定义 电子物证的特点 1. 1、 高科技性 2

10、. 2、 存储和提交形式多样性 3. 3、 客观实在易变性 4. 4、 存在的广域性 5. 5、 实时准确性 电子物证的表现形式 1. 存在于计算机系统内的： 2. 存在于网络内的： 电子物证勘验提取 1. （1）数据获取 2. （2）数据分析 3. （3）数据破译 4. 电子物证勘验设备介绍 展开 电子的物证定义 电子物证的特点 1. 1、 高科技性 2. 2、 存储和提交形式多样性 3. 3、 客观实在易变性 4. 4、 存在的广域性 5. 5、 实时准确性 电子物证的表现形式 1. 存在于计算机系统内的： 2. 存在于网络内的： 电子物证勘验提取 1. （1）数据获取 2. （2）数据分

11、析 3. （3）数据破译 4. 电子物证勘验设备介绍 展开 编 辑 本 段 电 子 的 物 证 定 义电 子 物 证 是 指 以 存 储 于 介 质 载 体 中 的 电 磁 记 录 或 光 电 记 录 对 案 件 事 实 起 证 明 作 用的 电 子 信 息 数 据 及 其 附 属 物 。 除 了 具 有 物 证 的 客 观 性 和 可 知 性 之 外 ， 电 子 物 证 还 具 有 非直 观 性 和 多 态 性 、 电 子 物 理 和 诉 讼 证 据 的 双 重 属 性 。 电 子 物 证 的 提 取 与 固 定 ， 首 先 对 载有 电 子 物 证 信 息 数 据 的 物 理 实 体 进

12、行 扣 押 、 封 存 ， 再 采 用 专 门 的 技 术 方 法 对 物 理 实体 中 的 电 子 信 息 数 据 进 行 提 取 和 固 定 ， 形 成 电 子 物 证 。 为 了 维 系 电 子 物 证 的 客 观 真 实 性 ，在 获 取 电 子 物 证 时 ， 应 采 用 取 证 专 用 的 数 据 拷 贝 机 和 电 子 物 证 勘 验 取 证 技 术 （ 如 ，SDII 服 务 器 恢 复 系 统 、 效 率 源 DCK 等 ） ， 附 加 上 时 间 戳 信 息 数 据 ， 一 次 性 提 取 和 固 定介 质 载 体 中 的 全 部 电 子 物 证 信 息 。 编 辑 本 段

13、 电 子 物 证 的 特 点与 传 统 证 据 相 比 较 ， 电 子 物 证 有 以 下 五 个 特 点 ： 1、 高 科 技 性电 子 物 证 的 高 科 技 性 使 取 证 变 得 便 捷 和 高 效 ， 具 体 表 现 为 收 集 电 子 物 证 快 速 ， 保 存和 固 定 电 子 物 证 便 利 （ 电 子 物 证 信 息 量 虽 大 ， 却 占 用 很 小 的 物 理 空 间 并 易 于 保 存 ） 。但 要 求 取 证 技 术 人 员 具 备 与 电 子 物 证 相 关 的 技 术 专 业 知 识 与 技 能 ， 并 配 备 SDII 服 务器 恢 复 系 统 等 专 业 的

14、电 子 物 证 勘 验 取 证 设 备 。 2、 存 储 和 提 交 形 式 多 样 性电 子 物 证 以 文 本 、 图 形 、 图 像 、 动 画 、 音 频 、 视 频 等 多 种 信 息 形 成 、 存 储 于 计 算机 硬 盘 、 软 盘 、 光 盘 、 磁 带 等 设 备 及 介 质 中 的 ， 其 生 成 和 还 原 却 离 不 开 相 关 的 计 算 机等 电 子 设 备 。 电 子 物 证 的 提 交 形 式 相 应 地 表 现 为 文 书 、 计 算 机 硬 盘 、 光 盘 等 介 质 ， 因 而具 有 与 书 证 、 视 听 资 料 、 物 证 等 证 据 种 类 相 同

15、 或 相 似 的 表 现 形 式 ， 并 随 着 科 技 成 果 的 不断 增 加 ， 电 子 物 证 的 提 交 形 式 将 会 更 加 多 样 化 。 3、 客 观 实 在 易 变 性电 子 物 证 一 经 生 成 必 然 会 在 计 算 机 系 统 、 网 络 系 统 中 留 下 相 关 的 痕 迹 或 记 录 并 被保 存 于 系 统 自 带 日 志 （ 系 统 日 志 、 安 全 日 志 等 ） 或 第 三 方 软 件 形 成 的 日 志 中 ， 客 观 真实 地 记 录 了 案 件 事 实 情 况 ， 但 由 于 计 算 机 数 字 信 息 存 储 、 传 输 不 连 续 和 离

16、散 ， 容 易 被 截取 、 监 听 、 剪 接 、 删 除 ， 同 时 还 可 能 由 于 计 算 机 系 统 、 网 络 系 统 、 物 理 系 统 的 原 因 ， 造成 其 变 化 且 难 有 痕 迹 可 寻 。 因 此 在 进 行 电 子 物 证 勘 验 提 取 时 ， 必 须 配 备 专 业 的 数 据恢 复 设 备 以 保 证 电 子 物 证 的 绝 对 完 整 、 准 确 。 4、 存 在 的 广 域 性电 子 物 证 因 行 为 人 使 用 网 络 的 种 类 不 同 或 目 的 不 同 而 存 在 于 局 域 网 或 互 联 网 中 ， 而在 遍 布 全 球 的 互 联 网 中 的 各 地 网 络 服 务 商 提 供 的 服 务 器 就 会 留 有 电 子 物 证 。 基 于 电 子 物证 的 这 一 特 性 ， 使 人 们 对 电 子 物 证 所 在 地 的 认 识 有 了 新 突 破 ， 因 而 ， 取 证 活 动 将 常 常 不局 限 于 一 地 区 、 一 国 界 ， 且 由 于 各