朗威计算机保密检查取证工具用户手册

计算机保密检查取证工具用户手册哈尔滨朗威电子技术开发有限公司目录公司简介哈尔滨朗威电子技术开发有限公司成立于1999年11月5日，注册资金300万元，注册地址在哈尔滨市南岗区学府路36-2号朗威大厦。

哈尔滨朗威电子技术开发有限公司是国家商用密码产品生产定点单位，具有涉及国家秘密的计算机信息系统集成资质，全面致力于“信息安全保密产品”、“信息安全应用产品”的研制，并且是“安全服务”提供商。

朗威公司目前已经形成了多项拥有自主知识产权的信息安全类产品，分别通过保密局、公安部、信息产业部等权威部门认证，并为用户提供专家级的咨询和安全服务。

朗威电子签章系统作为中间件在中央政府采购项目中中标，标志着朗威电子签章技术在政府公文传输系统中获得认可，并得到广泛推广。

多年来，哈尔滨朗威电子技术开发有限公司专注保密市场，专心于保密标准的研究，专门制作符合保密单项要求的产品，在产品的研发、生产和销售各个环节完全符合国家相关政策的规定。

公司拥有自己的研发队伍。

哈尔滨朗威电子技术开发有限公司现有安全产品：朗威桌面安全管理系统、朗威USB移动存储介质使用管理系统、朗威涉密信息实时监管系统、朗威电子签章系统和朗威公文传输系统等。

朗威公司凭借专业的行业背景、先进的软件产品、成熟的技术优势、高素质的技术人才、优越的研发环境为用户提供了完善的解决方案和专业的技术支持，广泛服务于政府、企业、教育、金融、电信等领域，为全国各级涉密部门提供安全保障，为全国许多军工单位的军工资质认证和系统评测提供咨询及技术服务，受到了市场的普遍欢迎。

朗威公司充分意识到保密工作的严肃性和重要性，研制出的安全产品严格执行国家相关标准、政策，得到了国家保密局、各地保密局和军工集团保密办的肯定。

其中，桌面安全管理系统率先通过国家认证，涉密信息实时监管系统作为全国的优秀模式得到推广，而涉密介质管理系统则是目前唯一能做到对涉密移动存储介质的外联进行监管的产品，居全国领先地位。

哈尔滨朗威电子技术开发有限公司立足龙江，服务全国，提供本地化的安全服务，以“管理严格、操作规范、功夫到家”的司训，“诚信、进取、团队、创新”的企业精神，“以服务赢得客户，以创新求得发展”的经营理念和“做一项工程，树一座丰碑”的服务理念，不断提升公司的技术研发实力，立志使公司产品成为全国同类产品最优，服务社会，构建完善的信息安全平台。

第一章计算机保密检查取证工具简介1.概述计算机保密检查取证工具（以下简称“检查工具”）主要针对各级保密局、政府机关、军工单位、科研院所等各类机关企事业单位保密管理工作机构使用，进行为保密部门对本单位计算机系统的保密检查工作提供强有力的检查手段，检查涉密网及非涉密网在运行中是否发生违规操作及不符合保密要求的操作行为。

该产品可以准确、全面、快捷、方便地提供被检查计算机的相关违规信息等，重点检查涉密计算机是否违规上互联网、使用非合理的存储介质和非涉密计算机是否违规处理涉密信息等，并提供数据恢复的深入检查功能，提供当前系统用户、共享、开放端口等相关信息。

2.主要功能1、系统信息检查主机名、硬盘序列号、硬盘型号、IP地址、MAC地址、操作系统名称、操作系统安装时间、用户账号情况、多操作系统信息、补丁安装情况、硬盘分区情况、系统驱动信息。

2、违规外联检查历史上网记录信息、Cookies目录下遗留的上网记录信息、系统临时目录下上网记录信息、收藏夹下网络信息、注册表上网记录、系统内是否安装无线网卡、常用网络工具、系统是否安装蓝牙设备、是否连接网络、拨号信息、手机设备、深度上网记录。

3、违规接入检查常规移动介质记录、深度移动介质记录、手机设备、打印机安装信息、导入USB 介质信任列表。

4、涉密隐患检查端口信息、安全策略、多操作系统系统、其他软件信息、进程信息、服务信息、杀毒软件信息、常规系统日志信息、共享信息、深度系统日志信息。

5、文件信息检查历史文件操作记录、其它文件操作记录、最近操作的文档信息、系统数据库中的文件操作信息、深度文件操作信息、常规文件信息、深度文件信息、删除文件恢复。

3.主要特点1、能够准确的检查涉密计算机的上网记录，并进行数据取证，即使通过专业清理工具对上网信息进行了清除处理、格式化硬盘或重新安装操作系统，本系统仍能够获得准确的上网信息。

2、支持内容检索功能，通过对文件信息检索技术，可以对不同的磁盘分区内的所有DOC、XLS、TXT、WPS等格式文件进行内容搜索。

即使用户把存在磁盘的涉密文件或处理过的涉密文件的操作记录清除掉，本系统也会应用数据恢复技术，把其恢复出来，并进行检查取证。

3、系统使用简便，操作界面友好，本系统被存储在专用介质中，无需安装，可直接在被检查计算机上自动运行，检查人员仅需输入必要的检测配置既可自动进行检测，检测整个过程无须用户干预，检测结束后自动生成检测报告供用户进行检查取证。

4、自主知识产权，系统内部设计采用可扩充框架结构，实现检测模块化处理，方便满足用户个性化二次开发需求。

5、能够准确检查移动介质的插拔记录，并在取证报告中显示移动介质的设备名称、序列号、第一次使用时间、最后一次使用时间，PID&VID等信息详尽。

6、界面简洁美观，检查结果清晰醒目。

第二章检查工具使用向导本向导会详细地讲解检查工具的各项功能，请您仔细查看使用向导，按照使用向导的讲解，相信您会很快便能掌握检查工具的使用方法及其奥妙所在！检查工具总共分为了两个版本，一个是涉密专用版，一个是非涉密专用版。

检查工具提供五大方面的检查功能：违规外联检查、涉密隐患检查、违规接入检查、文件信息检查、系统基本信息检查。

违规外联检查针对十二个方面进行检查，其中包括：历史上网记录信息、Cookies目录下遗留的上网记录信息、系统临时目录下上网记录信息、收藏夹下网络信息、注册表上网记录、系统内是否安装无线网卡、常用网络工具、系统是否安装蓝牙设备、是否连接网络、拨号信息、手机设备、深度上网记录；涉密隐患检查针对十个方面进行检查，其中包括：端口信息、安全策略、多操作系统系统、其他软件信息、进程信息、服务信息、杀毒软件信息、常规系统日志信息、共享信息、深度系统日志信息；违规接入检查针对六个方面进行检查，其中包括：常规移动介质记录、深度移动介质记录、手机设备、打印机安装信息、导入USB介质信任列表；文件信息检查针对七个方面进行检查，其中包括：历史文件操作记录、其它文件操作记录、最近操作的文档信息、系统数据库中的文件操作信息、深度文件操作信息、常规文件信息、深度文件信息、删除文件恢复；系统基本信息针对十二个方面进行检查，其中包括：主机名、硬盘序列号、硬盘型号、IP地址、MAC地址、操作系统名称、操作系统安装时间、用户账号情况、多操作系统信息、补丁安装情况、硬盘分区情况、系统驱动信息。

下一章我们将为您讲解检查工具各个功能的具体使用方法。

第三章检查工具使用方法1.检查工具使用方法检查工具主要是对涉密电脑进行全面并且综合的检查，检查计算机当前是否与互联网相连接，是否存在违规上网记录和痕迹，检查涉密计算机是否曾经拨号上互联网，使用非合理的存储介质等，并提供数据恢复的深入检查（信息检索）、文件检索等功能，提供当前系统用户、共享、开放端口等相关信息等。

检查功能将计算机保密检查取证工具（光盘）插入被检查计算机中，双击其中的检查工具，启动检查工具.当用户按照使用简介进入检查工具后，可进入检查工具主界面，如：图1所示：图1检查项目包括五大项：违规外联检查、涉密隐患检查、违规接入检查、文件信息检查、系统基本信息检查。

每一块又包括不同的分项，详细说明如下：系统基本信息检查：主机名、硬盘序列号、硬盘型号、IP地址、MAC地址、操作系统名称、操作系统安装时间、用户账号情况、多操作系统信息、补丁安装情况、硬盘分区情况、系统驱动信息。

违规外联检查：历史上网记录信息、Cookies目录下遗留的上网记录信息、系统临时目录下上网记录信息、收藏夹下网络信息、注册表上网记录、系统内是否安装无线网卡、常用网络工具、系统是否安装蓝牙设备、是否连接网络、拨号信息、手机设备、深度上网记录。

涉密隐患检查：端口信息、安全策略、多操作系统系统、其他软件信息、进程信息、服务信息、杀毒软件信息、常规系统日志信息、共享信息、深度系统日志信息。

违规接入检查：常规移动介质记录、深度移动介质记录、手机设备、MP3设备、打印机安装信息、导入USB介质信任列表。

文件信息检查：历史文件操作记录、其它文件操作记录、最近操作的文档信息、系统数据库中的文件操作信息、深度文件操作信息、常规文件信息、深度文件信息、删除文件恢复。

用户可通过两种方式对被检查计算机进行一系列检查操作，具体操作如下：方式一：通过点击“快速开始”菜单下的“检查常规信息”，弹出如下对话框：图2用户可通过对想要检查的项目进行选择，选择确认后，点击“开始”按钮，既可对选择的项目进行检查。

如用户选择检查全部的项目，则检查结束后，可以在主窗口中查看相关检查结果。

方式二：通过直接点击工具栏中的“常规检查”（功能与方式一相同）。

常规检查是全面检查功能，如果想进行部分检查可点击：“基本信息检查”、“违规外联检查”、“违规接入检查”、“涉密隐患检查”、“文件信息检查”按钮，可对一个或多个项目进行检查以及查看检查结果信息。

例如点击“基本信息”工具栏按钮，点击“开始”，可通过主窗口对检查结果进行查看，如图3所示：图3如果要检查“基本信息”中的一个或者多个项有两种方法，具体操作如下：1）直接点击工具栏中的“基本信息”，然后选择其中想要检查的项，如图4所示：图42）选择菜单栏中的“系统信息检查”菜单下的单个选项进行检查，也可以在此勾选其他项。

其他功能1.2.1 文件恢复文件恢复，主要分为正常搜索与深度搜索。

正常搜索主要检查用户机器中现有存在的文件，深度搜索主要实现对已经被完全删除文件的查询功能，辅助检查人员准确地对上网行为等进行检查取证。

用户可通过点击如图1所示主界面中“文件恢复”工具栏按钮，弹出“磁盘深度搜索检查工具”界面，如图5所示：图5一、正常搜索正常搜索包括文件分类搜索、文件内容搜索。

选择“文件搜索”菜单下的“正常搜索”项或单击工具栏中的“正常搜索”按钮，出现“正常检查”界面，如图6所示：图6（1）文件分类搜索（普通选项）：对指定的路径，根据文件或文件夹名、扩展名、日期进行搜索。

在“搜索范围”处选择搜索路径，在“要搜索的文件或文件夹名为”处输入要搜的文件或文件夹名称，在“日期”处选择要搜索的日期，“扩展名”处输入要搜索的扩展名，在“高级选项”处用户可以设置是否搜索子文件夹和搜索目录级别。

设置完搜索条件后，点击“开始”进行文件分类搜索。

（2）文件内容搜索（关键字选项）：对文件正文内容进行搜索，支持txt、word、excel、wps、ppt等文件格式。