電子物證檢驗(yàn)數(shù)據(jù)分析與信息應(yīng)用

張建鋒，汪 峰

(玉門市公安局，甘肅 玉門 735200)

應(yīng)用電子檢驗(yàn)技術(shù)可降低分析物證和處理數(shù)據(jù)的難度，開展更加精確的物證處理。在電子數(shù)據(jù)分析環(huán)節(jié)，按照規(guī)范流程措施，可提升數(shù)據(jù)精確度，提供良好的信息支持。應(yīng)從基本原理和基本內(nèi)容入手，認(rèn)識(shí)到電子物證檢驗(yàn)的重要性，在犯罪偵查中應(yīng)用好電子物證。

1 電子物證檢驗(yàn)與取證流程

電子物證主要存儲(chǔ)于電子數(shù)據(jù)或其衍生物等介質(zhì)載體中，其中存儲(chǔ)的文本、圖像、聲音及視頻等各種格式的信息都屬于電子數(shù)據(jù)。衍生物是附屬產(chǎn)物，大多源自于電子數(shù)據(jù)。電子物證檢驗(yàn)的鑒定人員不僅需要具備相關(guān)資質(zhì)，還需要根據(jù)國家相關(guān)規(guī)定和相應(yīng)的技術(shù)流程進(jìn)行操作，委托受理發(fā)掘、識(shí)別和提取電子物證等，對數(shù)據(jù)價(jià)值進(jìn)行挖掘。檢驗(yàn)結(jié)果能夠促進(jìn)案件的深入偵查，為后續(xù)庭審提供重要依據(jù)。

檢驗(yàn)電子物證需要遵守相應(yīng)的取證流程。一般來說，檢驗(yàn)電子物證時(shí)需要按照如下流程進(jìn)行取證：要對現(xiàn)場范圍進(jìn)行確定，避免現(xiàn)場痕跡受到破壞；保護(hù)現(xiàn)場，如果數(shù)據(jù)信息極易消失，需要在迅速獲取電子數(shù)據(jù)后將其存儲(chǔ)到相應(yīng)的介質(zhì)中；分析電子數(shù)據(jù)，提取和刪除恢復(fù)相關(guān)數(shù)據(jù)；顯示具體的電子物證，將其制作成最終文書[1]。

2 電子物證檢驗(yàn)數(shù)據(jù)分析

2.1 科學(xué)取證

在分析電子物證之前，要根據(jù)相應(yīng)的流程進(jìn)行取證。做好對現(xiàn)場的保護(hù)，實(shí)施現(xiàn)場勘察，分析相關(guān)數(shù)據(jù)，采用追蹤等形式進(jìn)行動(dòng)態(tài)取證，做好對檢驗(yàn)結(jié)果的提取。

2.2 分析網(wǎng)絡(luò)系統(tǒng)及其運(yùn)行狀況

要從操作系統(tǒng)和運(yùn)行環(huán)境入手，對電子物證進(jìn)行分析，判斷木馬程序、遠(yuǎn)程控制及潛伏性分區(qū)等隱患是否存在。由于存在多操作系統(tǒng)環(huán)境，需要重視計(jì)算機(jī)關(guān)機(jī)，避免由于人為開關(guān)機(jī)而導(dǎo)致運(yùn)行中的數(shù)據(jù)受到損壞刪除。

2.3 分析用戶活動(dòng)軌跡

要從微信聊天記錄、交易記錄及電子郵件等活動(dòng)軌跡入手，對用戶進(jìn)行分析，對用戶在計(jì)算機(jī)中的所有活動(dòng)數(shù)據(jù)進(jìn)行充分檢驗(yàn)，以實(shí)現(xiàn)對其計(jì)算機(jī)操作行為的良好掌控[2]。

2.4 分析磁盤存儲(chǔ)數(shù)據(jù)

分析磁盤中收集的各類數(shù)據(jù)，采用相關(guān)技術(shù)對刪除的數(shù)據(jù)進(jìn)行恢復(fù)，實(shí)現(xiàn)對各類動(dòng)作軌跡的獲取。如復(fù)制粘貼及資料增加、刪除、修改等，分析對比原始的電子數(shù)據(jù)，找到文件具有哪些修改痕跡，為案件偵破提供有效信息。

2.5 對所有物證的綜合審查

綜合審查和綜合分析的主要對象是所獲取到的各類電子物證和其他物證。在對電子物證進(jìn)行尋找時(shí)，要做好對其他相關(guān)物證的尋找，并對其進(jìn)行驗(yàn)證，尋找案件偵破最重要的犯罪人員及作案時(shí)間等信息。

3 信息應(yīng)用

3.1 關(guān)鍵字檢索數(shù)據(jù)

在掌握案件具體情況的基礎(chǔ)上需要明確案件包含哪幾個(gè)關(guān)鍵字，檢索相應(yīng)的關(guān)鍵字，實(shí)現(xiàn)對有效數(shù)據(jù)線索的獲取。應(yīng)用相關(guān)取證工具，如手機(jī)取證系統(tǒng)及取證大師等。在檢索完關(guān)鍵字后，在相關(guān)存儲(chǔ)介質(zhì)內(nèi)保存檢索到的各類數(shù)據(jù)信息。

3.2 應(yīng)用情報(bào)分析系統(tǒng)

在對數(shù)據(jù)和結(jié)果進(jìn)行分析前，可采用SIS情報(bào)綜合分析系統(tǒng)及可視化情報(bào)綜合分析軟件等情報(bào)分析系統(tǒng)，以實(shí)現(xiàn)對犯罪軌跡的深入挖掘。利用手機(jī)取證系統(tǒng)，在手機(jī)中獲取目標(biāo)對象的各類基本信息，在各類情報(bào)綜合分析系統(tǒng)中通過對此類信息的導(dǎo)入，能夠具有拓展性地分析有關(guān)目標(biāo)對象或案件的各類數(shù)據(jù)信息。

3.3 應(yīng)用信息系統(tǒng)

可以在公安內(nèi)部應(yīng)用警務(wù)分析系統(tǒng)及“大數(shù)據(jù)”系統(tǒng)等綜合分析系統(tǒng)，結(jié)合外部社會(huì)的銀行綜合信息系統(tǒng)、從業(yè)人員綜合信息系統(tǒng)等，對數(shù)據(jù)分析結(jié)構(gòu)進(jìn)行查詢和對比，采用不同的方式，如以人找案或以案找人等來提供有關(guān)案件偵查的各類證據(jù)和線索。

3.4 應(yīng)用互聯(lián)網(wǎng)

物聯(lián)網(wǎng)中的信息數(shù)據(jù)十分龐大，可以借助該技術(shù)拓展數(shù)據(jù)分析結(jié)果?；ヂ?lián)網(wǎng)中具有大規(guī)模的視頻、文字及圖片等信息，還包含了谷歌、搜狗及百度等功能強(qiáng)大的搜索引擎。應(yīng)結(jié)合相應(yīng)的數(shù)據(jù)分析結(jié)果，在互聯(lián)網(wǎng)上搜集相關(guān)人員及單位信息等。在公安業(yè)務(wù)系統(tǒng)中，通過對相關(guān)信息線索的搜索，實(shí)現(xiàn)對其的再次查證。

4 數(shù)據(jù)分析與信息應(yīng)用的注意事項(xiàng)

4.1 負(fù)責(zé)電子物證檢驗(yàn)的人員需要具有專業(yè)的鑒定資格

據(jù)相關(guān)規(guī)定：計(jì)算機(jī)犯罪現(xiàn)場勘驗(yàn)與電子證據(jù)檢查，應(yīng)當(dāng)由縣級(jí)以上公安機(jī)關(guān)網(wǎng)絡(luò)安全保衛(wèi)部門負(fù)責(zé)組織實(shí)施，必要時(shí)，可以指派或聘請具有專業(yè)知識(shí)的人參加。與其他證據(jù)相比，電子證據(jù)更易受到損毀，且恢復(fù)難度較大，如果由于不當(dāng)操作而導(dǎo)致無法讀取數(shù)據(jù)或毀壞數(shù)據(jù)，還會(huì)損害到其他用戶和電子證據(jù)的合法權(quán)益和安全，所以負(fù)責(zé)檢驗(yàn)分析電子物證的專業(yè)人員必須具有檢驗(yàn)鑒定電子物證的資格。

4.2 必須熟悉了解案件情況

在檢驗(yàn)分析電子物證數(shù)據(jù)時(shí)需要全面掌握案件偵查情況。計(jì)算機(jī)中可能存儲(chǔ)著海量的信息，需要根據(jù)所掌握的案件調(diào)查情況，采用相應(yīng)的方式和關(guān)鍵詞來檢驗(yàn)查找相關(guān)信息，對有關(guān)案件的各類信息、重要信息進(jìn)行查找，以保證檢驗(yàn)效果和檢驗(yàn)效率，為案件偵破提供線索。

4.3 熟悉信息應(yīng)用系統(tǒng)，具備信息實(shí)戰(zhàn)技能

想要實(shí)現(xiàn)對數(shù)據(jù)的有效分析，負(fù)責(zé)檢驗(yàn)電子物證的人員不僅需要熟悉掌握如何借助設(shè)備來檢驗(yàn)電子物證，還需要做到對信息應(yīng)用系統(tǒng)的熟悉，具有豐富的信息實(shí)戰(zhàn)經(jīng)驗(yàn)，在有效檢驗(yàn)分析電子物證后，對相關(guān)信息進(jìn)行拓展應(yīng)用。為了實(shí)現(xiàn)對犯罪行為的高效、有力打擊，對“警務(wù)綜合信息系統(tǒng)”及“SIS情報(bào)分析系統(tǒng)”等各類情報(bào)信息系統(tǒng)進(jìn)行了研發(fā)引用，只有熟悉信息應(yīng)用系統(tǒng)，采用情報(bào)信息系統(tǒng)對信息進(jìn)行查詢、串并和對比等深加工，才能實(shí)現(xiàn)對相關(guān)線索的發(fā)展，發(fā)揮數(shù)據(jù)分析價(jià)值[3]。

5 電子物證檢驗(yàn)工作的優(yōu)化措施

5.1 加強(qiáng)重視，投入資金

我國雖然對電子物證檢驗(yàn)工作做出了明確規(guī)定，但在實(shí)際執(zhí)行環(huán)節(jié)依然不夠嚴(yán)謹(jǐn)，相關(guān)機(jī)構(gòu)的電子物證檢驗(yàn)并不專業(yè)，也沒有明確自身職責(zé)，難以順利進(jìn)行電子物證檢驗(yàn)。想要改變這種情況，應(yīng)根據(jù)實(shí)際情況，提升電子物證檢驗(yàn)的專業(yè)性，投入更多的資金，購買現(xiàn)代化的檢驗(yàn)設(shè)備，保證電子物證檢驗(yàn)的順利開展。

5.2 完善制度

制度是提高電子物證檢驗(yàn)質(zhì)量的基本保障。相關(guān)機(jī)構(gòu)要結(jié)合實(shí)際的電子物證檢驗(yàn)情況，調(diào)整、修訂和完善傳統(tǒng)的工作制度，保證電子物證檢驗(yàn)制度的完善性。應(yīng)嚴(yán)格監(jiān)督和檢查該工作，保證有序、高效地運(yùn)行各項(xiàng)操作，獲取真實(shí)、有效的電子物證。

5.3 健全檢驗(yàn)流程

在電子物證檢驗(yàn)時(shí)應(yīng)遵循相關(guān)流程，要考慮電子物證檢驗(yàn)的特點(diǎn)，為該工作制定完善、科學(xué)的實(shí)施流程和操作標(biāo)準(zhǔn)，規(guī)范相關(guān)人員的工作行為。相關(guān)機(jī)構(gòu)在檢驗(yàn)電子物證時(shí)應(yīng)采用“收案號(hào)+序號(hào)”形式，對搜集到的電子物證進(jìn)行編號(hào)，同時(shí)備份這些電子物證。

5.4 創(chuàng)新技術(shù)

在檢驗(yàn)電子物證時(shí)采用創(chuàng)新措施，開展高效、高水平的電子物證檢驗(yàn)，避免搜集到虛假的電子物證。要考慮電子證據(jù)的特點(diǎn)，改變以往的檢驗(yàn)方式，科學(xué)檢驗(yàn)電子物證。如果電子物證檢驗(yàn)對象為硬盤或其他介質(zhì)，那么檢驗(yàn)人員想要恢復(fù)受損硬盤或其他存儲(chǔ)器的數(shù)據(jù)信息時(shí)，應(yīng)借助數(shù)據(jù)恢復(fù)技術(shù)，便于獲取案件的重要線索，搜集犯罪人員的各種信息，這有助于開展高效的偵查。

5.5 培養(yǎng)專業(yè)人才

電子物證檢驗(yàn)具有嚴(yán)格的技術(shù)操作標(biāo)準(zhǔn)，負(fù)責(zé)電子物證檢驗(yàn)的人員必須具有一定的專業(yè)性。想要高質(zhì)量、高效率地開展電子物證檢驗(yàn)，應(yīng)重視培養(yǎng)專業(yè)人才，為工作人員提供專業(yè)的培訓(xùn)，引導(dǎo)他們學(xué)習(xí)相關(guān)專業(yè)知識(shí)，保證其具備良好的專業(yè)能力。應(yīng)重視素質(zhì)教育，使其具有良好的職業(yè)素養(yǎng)。應(yīng)聘請專業(yè)人員負(fù)責(zé)電子物證檢驗(yàn)，提升工作隊(duì)伍的綜合素質(zhì)，這有助于開展科學(xué)的檢驗(yàn)[4]。

5.6 加強(qiáng)管理

電子證據(jù)的主要特點(diǎn)是隱蔽性和易變性，在檢驗(yàn)電子物證時(shí)，想要避免獲取到虛假的信息，應(yīng)加強(qiáng)管理，嚴(yán)格遵守相關(guān)標(biāo)準(zhǔn)，開展規(guī)范的物證檢驗(yàn)。結(jié)合錄像工作，引入第三方監(jiān)督機(jī)構(gòu)，保證合法檢驗(yàn)電子物證，獲取真實(shí)的檢驗(yàn)結(jié)果。應(yīng)在干凈的環(huán)境中檢驗(yàn)電子物證，切勿在受污染的環(huán)境中檢驗(yàn)電子物證，檢驗(yàn)前應(yīng)穿戴工服，避免電子物證粘附塵?；蝾w粒物，保證檢驗(yàn)結(jié)果的真實(shí)性。

6 結(jié)語

在短時(shí)間內(nèi)實(shí)現(xiàn)對電子數(shù)據(jù)的精確快速獲取能夠更好地為后期偵查、破案及法庭出示證據(jù)提供有力支撐。各類犯罪案件中包含了不同類型的電子證據(jù)，相比以往的技術(shù)措施，通過信息處理和數(shù)據(jù)分析能夠開展更加精準(zhǔn)的物證檢驗(yàn)，從根本上保證證據(jù)檢驗(yàn)的正確性。在對其進(jìn)行實(shí)際應(yīng)用時(shí)，必須要借助特定措施來保留電子物證，實(shí)現(xiàn)電子物證價(jià)值的有效提升。