計(jì)算機(jī)取證技術(shù)概述

于　濱

[摘要]目前,信息技術(shù)迅猛發(fā)展,網(wǎng)絡(luò)使用深入人心,在給廣大人民群眾帶來便利的同心,計(jì)算機(jī)與網(wǎng)絡(luò)犯罪也日益猖獗。簡要介紹計(jì)算機(jī)取證技術(shù)的概念,并對相關(guān)技術(shù)及軟件等做出介紹。

[關(guān)鍵詞]網(wǎng)絡(luò)犯罪 信息安全 計(jì)算機(jī)取證

中圖分類號:TP3文獻(xiàn)標(biāo)識碼:A文章編號:1671-7597(2009)0910051-01

一、引言

隨著科學(xué)技術(shù)的發(fā)展,信息科技廣泛深入人心,信息安全的重要性不斷凸顯,信息技術(shù)開始被用于非法目的,隨著計(jì)算機(jī)犯罪的出現(xiàn),計(jì)算機(jī)取證技術(shù)應(yīng)運(yùn)而生。計(jì)算機(jī)取證在打擊計(jì)算機(jī)和網(wǎng)絡(luò)犯罪中作用十分關(guān)鍵,它的目的是要將犯罪者留在計(jì)算機(jī)中的“痕跡”作為有效的訴訟證據(jù)提供給法庭,以便將犯罪嫌疑人繩之以法。因此,計(jì)算機(jī)取證是計(jì)算機(jī)領(lǐng)域和法學(xué)領(lǐng)域的一門交叉科學(xué),被用來解決大量的計(jì)算機(jī)犯罪和事故,包括網(wǎng)絡(luò)入侵、盜用知識產(chǎn)權(quán)和網(wǎng)絡(luò)欺騙等。

二、什么是計(jì)算機(jī)取證

從技術(shù)角度看,計(jì)算機(jī)取證是分析硬盤、光盤、軟盤、Zip磁盤、U盤、內(nèi)存緩沖和其他形式的儲存介質(zhì)以發(fā)現(xiàn)犯罪證據(jù)的過程,即計(jì)算機(jī)取證包括了對以磁介質(zhì)編碼信息方式存儲的計(jì)算機(jī)證據(jù)的保護(hù)、確認(rèn)、提取和歸檔。取證的方法通常是使用軟件和工具,按照一些預(yù)先定義的程序,全面地檢查計(jì)算機(jī)系統(tǒng),以提取和保護(hù)有關(guān)計(jì)算機(jī)犯罪的證據(jù)。

計(jì)算機(jī)取證主要是圍繞電子證據(jù)進(jìn)行的。電子證據(jù)也稱為計(jì)算機(jī)證據(jù),是指在計(jì)算機(jī)或計(jì)算機(jī)系統(tǒng)運(yùn)行過程中產(chǎn)生的,以其記錄的內(nèi)容來證明案件事實(shí)的電磁記錄。多媒體技術(shù)的發(fā)展,電子證據(jù)綜合了文本、圖形、圖像、動畫、音頻及視頻等多種類型的信息。與傳統(tǒng)證據(jù)一樣,電子證據(jù)必須是可信、準(zhǔn)確、完整、符合法律法規(guī)的,是法庭所能夠接受的。同時,電子證據(jù)與傳統(tǒng)證據(jù)不同,具有高科技性、無形性和易破壞性等特點(diǎn)。高科技性是指電子證據(jù)的產(chǎn)生、儲存和傳輸,都必須借助于計(jì)算機(jī)技術(shù)、存儲技術(shù)、網(wǎng)絡(luò)技術(shù)等,離開了相應(yīng)技術(shù)設(shè)備,電子證據(jù)就無法保存和傳輸。無形性是指電子證據(jù)肉眼不能夠直接可見的,必須借助適當(dāng)?shù)墓ぞ?。易破壞性是指電子證據(jù)很容易被篡改、刪除而不留任何痕跡。計(jì)算機(jī)取證要解決的重要問題是電子物證如何收集、如何保護(hù)、如何分析和如何展示。

可以用做計(jì)算機(jī)取證的信息源很多,如系統(tǒng)日志,防火墻與入侵檢測系統(tǒng)的工作記錄、反病毒軟件日志、系統(tǒng)審計(jì)記錄、網(wǎng)絡(luò)監(jiān)控流量、電子郵件、操作系統(tǒng)文件、數(shù)據(jù)庫文件和操作記錄、硬盤交換分區(qū)、軟件設(shè)置參數(shù)和文件、完成特定功能的腳本文件、Web瀏覽器數(shù)據(jù)緩沖、書簽、歷史記錄或會話日志、實(shí)時聊天記錄等。為了防止被偵查到,具備高科技作案技能犯罪嫌疑人,往往在犯罪活動結(jié)束后將自己殘留在受害方系統(tǒng)中的“痕跡”擦除掉,如盡量刪除或修改日志文件及其他有關(guān)記錄。但是,一般的刪除文件操作,即使在清空了回收站后,如果不是對硬盤進(jìn)行低級格式化處理或?qū)⒂脖P空間裝滿,仍有可能恢復(fù)已經(jīng)刪除的文件。

三、如何進(jìn)行計(jì)算機(jī)取證

根據(jù)電子證據(jù)的特點(diǎn),在進(jìn)行計(jì)算機(jī)取證時,首先要盡早搜集證據(jù),并保證其沒有受到任何破壞。在取證時必須保證證據(jù)連續(xù)性,即在證據(jù)被正式提交給法庭時,必須能夠說明在證據(jù)從最初的獲取狀態(tài)到在法庭上出現(xiàn)狀態(tài)之間的任何變化,當(dāng)然最好是沒有任何變化。特別重要的是,計(jì)算機(jī)取證的全部過程必須是受到監(jiān)督的,即由原告委派的專家進(jìn)行的所有取證工作,都應(yīng)該受到由其他方委派的專家的監(jiān)督。

計(jì)算機(jī)取證的通常步驟如下:

1.保護(hù)目標(biāo)計(jì)算機(jī)系統(tǒng)。計(jì)算機(jī)取證時首先必須凍結(jié)目標(biāo)計(jì)算機(jī)系統(tǒng),不給犯罪嫌疑人破壞證據(jù)的機(jī)會。避免出現(xiàn)任何更改系統(tǒng)設(shè)置、損壞硬件、破壞數(shù)據(jù)或病毒感染的情況。

2.確定電子證據(jù)。在計(jì)算機(jī)存儲介質(zhì)容量越來越大的情況下,必須根據(jù)系統(tǒng)的破壞程度,在海量數(shù)據(jù)中區(qū)分哪些是電子證據(jù),哪些是無用數(shù)據(jù)。要尋找那些由犯罪嫌疑人留下的活動記錄作為電子證據(jù),確定這些記錄的存放位置和存儲方式。

3.收集電子證據(jù)。記錄系統(tǒng)的硬件配置和硬件連接情況,以便將計(jì)算機(jī)系統(tǒng)轉(zhuǎn)移到安全的地方進(jìn)行分析。對目標(biāo)系統(tǒng)磁盤中的所有數(shù)據(jù)進(jìn)行鏡像備份。備份后可對計(jì)算機(jī)證據(jù)進(jìn)行處理,如果將來出現(xiàn)對收集的電子證據(jù)發(fā)生疑問時,可通過鏡像備份的數(shù)據(jù)將目標(biāo)系統(tǒng)恢復(fù)到原始狀態(tài)。用取證工具收集的電子證據(jù),對系統(tǒng)的日期和時間進(jìn)行記錄歸檔,對可能作為證據(jù)的數(shù)據(jù)進(jìn)行分析。對關(guān)鍵的證據(jù)數(shù)據(jù)用光盤備份,也可直接將電子證據(jù)打印成文件證據(jù)。利用程序的自動搜索功能,將可疑為電子證據(jù)的文件或數(shù)據(jù)列表,確認(rèn)后發(fā)送給取證服務(wù)器。對網(wǎng)絡(luò)防火墻和入侵檢測系統(tǒng)的日志數(shù)據(jù),由于數(shù)據(jù)量特別大,可先進(jìn)行光盤備份,保全原始數(shù)據(jù),然后進(jìn)行犯罪信息挖掘。各類電子證據(jù)匯集時,將相關(guān)的文件證據(jù)存入取證服務(wù)器的特定目錄,將存放目錄、文件類型、證據(jù)來源等信息存入取證服務(wù)器的數(shù)據(jù)庫。

4.保護(hù)電子證據(jù)。對調(diào)查取證的數(shù)據(jù)鏡像備份介質(zhì)加封條存放在安全的地方。對獲取的電子證據(jù)采用安全措施保護(hù),無關(guān)人員不得操作存放電子證據(jù)的計(jì)算機(jī)。不輕易刪除或修改文件以免引起有價值的證據(jù)文件的永久丟失。

四、相關(guān)軟件介紹

1.Quick View Plus

支持查看超過200種應(yīng)用程序所創(chuàng)建的文件和文檔,包括字處理、數(shù)據(jù)庫、電子表格、圖形等等,你甚至不需要打開Office 97程序就可以直接查看Word 97和Excel 97文檔、你所要做的只是在文件上單擊鼠標(biāo)右鍵,它可以作為Netscape Navigator 2.0及更高版本的plug-in,或者Internet Explorer的一個ActiveX文檔服務(wù)器,你甚至可以直接用它查看HTML文檔。是一個功能強(qiáng),運(yùn)行快,與Windows無縫銜接的文件查看器。

使用這類文件瀏覽器的好處是:這類工具是專門用來查看數(shù)據(jù)文件的閱讀工具。只用于查看而沒有編輯和恢復(fù)功能,從而體積較小并可以防止證據(jù)的破壞。

2.ThumbsPlus

一個圖形文件查看、定位和組織程序,你可以方便地對圖形、Clip-art文件、字體和動畫進(jìn)行查找和維護(hù)操作。它為每個文件建立一個小的圖形,你可以用它瀏覽、查看、編輯、修剪、啟動外部編輯器以及把圖像復(fù)制到剪貼板,你還可以把文件拖放到不同的目錄。ThumbsPlus還可以對你選定的文件進(jìn)行幻燈播放以及安裝位圖文件作為Windows墻紙。此外,它還可以對圖形文件進(jìn)行打印和轉(zhuǎn)換,它支持大部分流行的文件格式。

3.RecoverNT