网络信息安全第10章计算机与网络取证技术

《网络信息安全第10章计算机与网络取证技术》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第10章计算机与网络取证技术10.1数字证据10.2计算机取证原则10.3计算机取证步骤10.4计算机取证方法10.5常用取证工具10.6当前计算机取证技术的局限和反取证技术10.7计算机取证的发展趋势习题10.1数字证据1．计算机取证的概念一种新的证据形式，即计算机及相关外围设备中的数字证据逐渐成为新的诉讼证据之一。大量的计算机犯罪(如商业机密信息的窃取和破坏、网络欺诈、对政府和军事网站的入侵等案例)的取证工作需要提取存在于计算机和网络系统中的数据，甚至需要从已被删除、加密或破坏的文件中还原数字信息。数字证据的特殊特点，对司法和计算机科学领

2、域都提出了新的研究课题。作为计算机领域和法学领域的一门交叉科学：计算机取证(ComputerForensics)正逐渐成为人们研究与关注的焦点。那么，什么是计算机取证呢？目前已有的定义有：(1)计算机取证是将计算机调查和分析技术应用于对潜在的、有法律效力的证据的确定与获取上。(2)计算机取证包括了对以磁介质编码信息方式存储的计算机证据的保护、确认、提取和归档。(3)计算机取证是使用软件和工具，按照一些预先定义的程序全面地检查计算机系统，以提取和保存有关计算机犯罪的证据。目前在国内外，对于计算机证据的定义还没有一个完整、统一的定义。一般认为，计

3、算机证据是存储在电、磁、光记录物的数字信息，这些数字数据信息是在计算机和网络系统运行过程中产生的，并能够以其内容证明案件事实，它们可以转换为不同的输出表现形式。计算机证据本身的存在形式是数字形式，人们不能识别，只有计算机及其附属设备才能识别。在理解计算机证据的概念时应该特别注意不要将计算机证据的输出形式作为标准来界定计算机证据，因为同样的计算机可能产生各种不同的输出形式，这会导致将同样的证据归入不同的证据种类。同时，这样做还容易将计算机证据与传统的证据方式混杂在一起，法律就难以同时对其特性及运用规则做出比较准确的规定。2．数字证据的特点与传统

4、证据一样，电子证据必须是可信的、准确的、完整的、可信服的、符合法律法规的；数字证据还具有与传统证据有别的一些特点：(1)易变的：计算机和网络数据随时都可能发生改变。(2)不可见的：数字证据不是肉眼直接可见的，必须借助适当的工具。(3)搜集计算机数据的过程，可能会对原始数据造成严重的修改，因为打开文件、打印文件等一般都不是原始操作。。电子证据问题是由于技术发展引起的，因为计算机和电信技术的发展非常迅猛，所以取证步骤和程序也必须不断调整以适应技术的进步。(1)数字性：数字证据的物质载体是电、磁和光类。数字证据的获取需要特殊的手段，与其他类型的证据

5、的获取是完全不同的。(2)技术性：数字证据的产生、储存和传输及其采集、分析和判断都必须借助于计算机科学中的计算技术、存储技术、网络通信技术等。(3)脆弱性：由于计算机信息容易被修改，并且对其进行真正意义上的修改(不可恢复的修改)后不留痕迹，从而使得计算机信息具有了脆弱而不可靠的一面。人为操纵数据和程序的破坏在某种程度上具有普遍性。计算机系统对数据的处理具有环节多、使用的技术和设备复杂的特点。而且由于计算机的处理速度越来越快，数据的修改都是在瞬间完成的，因此计算机证据有时是不可靠的。(4)多态性：是指计算机证据的外在表现形式可以是多种多样的，源

6、于同一计算机存储的数字信息本身可以在不同层次，用不同形式表现出来。虽然不同的证据表现形式并不能说明其在审查判断上有根本的区别，但是不同形态的证据材料的审查规则却是不同的。(5)人机交互性：这是指数字证据的形成的各个环节过程中有不同的计算机操作人员的参与，他们在不同程度上都可能影响计算机系统的运转。而且这种影响的层次和程度与这些人员的工作性质有关。也就是说，计算机管理员、网络管理员、程序员、系统分析员以及一般的计算机操作人员对数据信息的影响是不同的。所以，可能出现的问题也就存在于人、机两个方面。为了保证证据的可靠性和真实性，应该从技术和管理上严

7、格控制人机系统。同时，在采集和获取计算机证据时应注意分析人和机器两个方面。(6)复合性：证据的复合性是指当证据以某种形式表现时，往往就具有了这种表现形式的证据特征。而计算机证据的表现形式是多种多样的，可以是打印在纸上的文字，可以是在显示器上输出的视频、图像、文字，也可以是声音设备输出的声音。在诉讼活动中采纳某一证据形式时，应当既考虑该证据生成过程的可靠程度，又要考虑这一证据的表现形式是否被伪造或剪辑、删改过。所以，计算机证据的采集和鉴别不仅技术含量高，而且其过程是十分复杂的。10.2计算机取证原则计算机取证，亦即收集计算机证据，是指在现场勘查

8、和搜查的过程中及时、准确、完整地获取或者扣押与案件有关的电子数据和相关的证据。计算机在相关的犯罪案件中(不仅仅是计算机犯罪案件)要么是入侵的目标，要么是作案的工具，