基于encase的计算机取证技术研究

《基于encase的计算机取证技术研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、基于Encase的计算机取证技术研究[摘要]本文首先介绍了计算机取证的概念、计算机取证的步骤，然后探讨了如何利用EnCase来进行计算机取证。[关键词]EnCase；计算机取证；脚本；一、计算机取证的概念计算机取证就是利用计算机技术，依法对计算机证据进行发现、固定、提取、分析，从而提供具有说服力并能被司法机关用作呈堂证供的电子证据的过程。二、计算机取证的步骤计算机取证的步骤包括：保护现场和现场勘查、获取证据、鉴定证据、分析证据、进行跟踪和提交结果。我国在数字化证据学的基础上，提出了计算机取证的五层次框架说，即：发现、固定、提取、分析、表达。三、计算机取证软件Encase1．Encase功能特

2、色Encase取证工具是世界上通用的计算机取证调查软件，使用Encase能在一个集成的窗口内完成数据预览、数据分析、报告生成等工作。Encase可以在不改变文件属性信息的情况下通过浏览窗口查看存储媒介的每个存储单元的内容，包括被删除的文件夹、文档片段和被取消分配的簇。另外，Encase对Unix文件系统、NTFS文件系统和RAID都有很好的支持。EnCase是用C++编写的容量大约为1M的程序，它能调查Windows，Macintosh，Linux，Unix或DOS机器的硬盘，把硬盘中的文件镜像成只读的证据文件，这样可以防止调查人员修改数据而使其成为无效的证据。为了确定镜像数据与原始数据相同

3、，EnCase会把计算机CRC校验码和MD5哈希值进行比较。EnCase对硬盘驱动镜像后重新组织文件结构，采用WindowsGUI显示文件的内容，允许调查员使用多个工具完成多个任务。在检查一个硬盘驱动时，EnCase深入操作系统底层查看所有的数据——包括fileslack，未分配的空间和Windows交换分区(存有被删除的文件和其它潜在的证据)的数据。在显示文件方面，EnCase可以由多种标准如时间戳或文件扩展名来排序。此外，EnCase可以比较已知扩展名的文件签名，使得调查人员能确定用户是否通过改变文件扩展名来隐藏证据。对调查结果可以采用html或文本方式显示，并可打印出来。2.Enscr

4、ipt简介作为当前最富有调查能力的取证软件，Encase本身所提供的菜单式功能是有限的。现实中案件千变万化，Encase不可能讲各种功能直接菜单化，所以Encase提供了一个功能强大的脚本Enscript来解决菜单功能无法完成的任务，以满足用户的现实需要。Encase当前已提供了许多很有用的脚本，但这依旧无法满足现实需要，因而用户最好能够自行编写脚本程序，以便更好地使用Encase。通过Enscript可以充分扩展Encase的功能，使Encase在取证调查中经得起千变万化的现实考验。3．Encase分析实例下面通过一个实例来说明如何用Encase进行基于网页的邮件分析。基于网页的电子邮件常

5、见的有htomail、sina、163、sohu等。由于这种电子邮件以html语言为基础，所以首先要关注的地方是TemporarylnternetFiles。首先，提取相关的电子证据。把相关邮件关键字导入Encase，然后搜索排序，得到结果。然后，对提取到的电子信息进行分析，选择有用内容进行恢复，即可得到结果。最后，使用Encase的文档生成功能生成可以被司法部门接受的案卷证据文档。4.Encase两个版本解决方案介绍Encase软件在运行时能建立一个独立的硬盘镜像，而它的FastBIocIDE工具则能从物理层阻止操作系统向硬盘上写数据。Encase软件包括Encase取证版解决方案和Enc

6、ase企业版解决方案。Encase取证版解决方案。Encase取证版解决方案是国际领先的受法院认可的计算机调查取证的工具。它具有直观的图形界面，用户可以方便地管理大量的电子证据和查看所有的相关文件，包括“已删除”的文件、文件碎片和未分配的磁盘空间。Encase企业版解决方案。Encase企业版解决方案(EncaseEnterpriseEdjtion，简称EEE)是世界上第一个可以有效执行远程企业紧急事件响应(Response)、审计(Audit)和发现(DIscovery)任务的解决方案。计算机紧急事件晌应工作组(CERT)和计算机调查员可以利用EEE即时通过局域网或广域网识别、预览、获取和

7、分析远程的电子媒介。FastBlocIDE工具。FastBlocIDE是目前市场上最先进的阻止硬盘写数据的工具。FastBlocIDE有以下特性：通过IDE信道相连，无需SCSI控制器卡或SCSI驱动器，与内置CD-ROM驱动器的高度和宽度相同，可以快速连到一台取证计算机上；体积小，便于携带和使用。四、EnCase详细功能、应用操作示例1.使用EnCase过滤脚本(1)导入美亚过滤脚本使用过滤脚本中的导入功能