计算机取证与司法鉴定(第二版)课件01 概论
合集下载
计算机取证技术PPT课件
30
编辑版pppt
10
编辑版pppt
4.3 计算机证据的收集与保存
4.3.1 计算机证据收集的原则 4.3.2 计算机证据收集的过程 4.3.3 独立计算机的证据收集 4.3.4 复杂系统的证据收集 4.3.5 磁盘映像 4.3.6 计算机证据的保存 1. 证据的保存 2. 证据的完整性保护
11
编辑版pppt
18
编辑版pppt
19
编辑版pppt
Sniffer Pro
20
编辑版pppt
EasyRecovery
它是一个威力非常强大的硬盘数据恢复工具。能够帮你恢复丢 失的数据以及重建文件系统。
EasyRecovery不会向你的原始驱动器写入任何东西，它主要是 在内存中重建文件分区表使数据能够安全地传输到其他驱动器 中。你可以从被病毒破坏或是已经格式化的硬盘中恢复数据。 该软件可以恢复大于 8.4GB的硬盘。支持长文件名。被破坏的 硬盘中像丢失的引导记录、BIOS参数数据块；分区表；FAT 表 ；引导区都可以由它来进行恢复。
2. 用户将需要加时间戳的文件用Hash算法运算 行程摘要
3. 将该摘要发送到DTS
4. DTS在加入了收到文件摘要的日期和事件信息 后再对该文件加密（数字签名），然后送达 用户。
7
编辑版pppt
4.1.3应对具体案件的取证准备
获得合法的取证手续 1. 在对现场进行搜查之前要获得取证的司法授权 2. 搜查令要清楚地说明哪些将可能称为证据，哪些可疑
L0phtCrack是一款网络管理员的必备的工具，它可以用来 检测Windows、UNIX 用户是否使用了不安全的密码，同样 也是最好、最快的Win NT/2000/XP/UNIX 管理员帐号密码破 解工具。事实证明，简单的或容易遭受破解的管理员密码 是最大的安全威胁之一，因为攻击者往往以合法的身份登 陆计算机系统而不被察觉。
第9章(90)教材配套课件
第9章 计算机取证技术 2. 计算机取证工具 计算机取证工作需要一些相应的工具软件和设备来支持，
随着问题越来越复杂，将来还需要自动化程度更高的取证工 具。这些工具既包括操作系统中已经存在的一些命令行工具， 也包括专门开发的工具软件和取证工具包。
在进行电子证据收集之前，要对计算机硬件进行常规取 证，目的是获取收集数字信息的设备，所需的工具必须要满
【应用设置】按钮即修改成功。
第9章 计算机取证技术 图9.9 BitSureⅠ现场勘验取证系统设置界面
第9章 计算机取证技术 (9) 系统日志。 BitSureⅠ现场勘验取证系统日志界面如图9.10所示。 ① 在系统日志界面，记录了对整个系统的操作，包括对
证据提取的成功与否、取证重现的成功与否、证据验证的结 果、检查设备信息等过程。
第9章 计算机取证技术
下面介绍重庆爱思网安信息技术有限公司自主研发的 BitSureⅠ现场勘验取证系统，该产品前期技术研究是公安部 立项的科研项目，并已经通过项目验收(该项目验收结论是： 填补了国内空白)。该产品核心技术已经申请多项国家发明专 利，是目前国内唯一具有电子数据取证与调查过程强审计功 能的勘验取证产品。
足整个设备的收集过程，包括：存档、收集、封装和运输。
第9章 计算机取证技术 在取证过程中，数据获取和分析工具是计算机取证工具
包中最基本、最重要的工具。在选用有的系统命令和工具软 件作为取证工具之前，首先要验证所选用的工具能否满足要 求，即需要准确地核实工具的用途，判定它的输出是否可信 以及确定如何操作这个工具。这种验证对于确保计算机系统 内部信息的正确提取十分重要。通常我们需要证据获取工具、 证据保全工具、证据分析工具、证据归档工具这四种取证工 具。
第9章 计算机取证技术
计算机取证与司法鉴定(第二版)课件01 概论
内容
计算机取证与分析鉴定的产生背景
计算机犯罪是最近才出现的犯罪行为，且具有很多与 传统证据不同的特点，这给计算机证据的获取、分析 与鉴定带来了极大的挑战。
计算机取证学(computer forensics)作为计算机科学、 法学和刑事侦查学的交叉学科应运而生。世界各国相 继展开了这方面的研究工作，随着计算机和网络技术 的发展，取证领域已经由计算机主机系统扩大到网络 系统以及其它电子设备
数字证据作为一种可以证明案件事实的证据形式和法 庭上的证据，与传统证据一样，数字证据必须是：
①可信的 ②准确的 ③完整的 ④使法官信服的 ⑤符合法律法规，能够为法庭所接受的
相关概念
数字证据的特点
与传统证据相比，数字证据具有如下特点：
①无形性 ②高科技性 ③易破坏性 ④表现形式的多样性
历史、发展
计算机取证与分析鉴定发展的历史
国外的研究概况
国内的研究概况
目前的发展情况
当前的技术状况
1）单机与其它电子设备取证 2）网络取证 3）分析鉴定技术
一些常用的取证工具
1）实时响应工具 2）取证复制工具 3）取证分析工具
历史、发展
历史、发展
未来发展的趋势
取证的领域不断扩大，取证的工具向着专业化和自动 化发展
主讲：孙国梓 2020年7月8日
主要内容
计算机取证与分析鉴定的相关概念 计算机取证与分析鉴定的历史、发展 计算机取证与分析鉴定内容 计算机取证与分析鉴定模型、过程及策略 计算机取证与分析鉴定面临的难题和解决方法
Байду номын сангаас
相关概念
数字证据的定义
数字证据 (Digital Evidence)：法庭上可能成为证据的 以二进制形式存储或传送的信息。
《计算机取证技术》PPT课件_OK
• Computer related crime or computer aimed crime？
• 广义说：计算机犯罪———通常是指所有涉及 计算机的犯罪。如：
➢ 欧洲经济合作与发展组织的专家认为:“在自动 数据处理过程中任何非法的、违反职业道德的、 未经过批准的行为都是计算机犯罪。”
➢ 我国刑法学者有人认为:“凡是故意或过失不当 使用计算机致使他人受损失或有受损失危险的 行为,都是计算机犯罪。”
14
计算机犯罪的特点
• 损-失---大----，----对----象---广----泛----，---发----展----迅----速---，----涉----及----面---广---
➢ 计算机犯罪始于六十年代，七十年代迅速增长， 八十年代形成威胁。美国因计算机犯罪造成的损 失已在千亿美元以上，年损失达几十亿，甚至上 百亿美元，英、德的年损失也达几十亿美元。
8
计算机犯罪概念
---------------------------------------------------------------
➢ 折衷说：计算机本身在计算机犯罪中以“犯罪工具”或“犯罪对象”的 方式出现,这一概念注重的是计算机本身在犯罪中的作用。如： ➢ 德国学者施奈德认为:“计算机犯罪指的是利用电子数据处理设备作为 作案工具的犯罪行为或者把数据处理设备当作作案对象的犯罪行为。” ➢ 我国学者认为:“计算机犯罪是以计算机为工具或以计算机资产为对象 的犯罪行为。”
此外，在计算机犯罪中犯罪主体中内部人员也占有相当的比例。据有关统计， 计算机犯罪的犯罪主体集中为金融、证券业的“白领阶层”，身为银行或证 券公司职员而犯罪的占78%，并且绝大多数为单位内部的计算机操作管理人 员；从年龄和文化程度看，集中表现为具有一定专业技术知识、能独立工作 的大、中专文化程度的年轻人，这类人员占83%，案发时最大年龄为34岁。
• 广义说：计算机犯罪———通常是指所有涉及 计算机的犯罪。如：
➢ 欧洲经济合作与发展组织的专家认为:“在自动 数据处理过程中任何非法的、违反职业道德的、 未经过批准的行为都是计算机犯罪。”
➢ 我国刑法学者有人认为:“凡是故意或过失不当 使用计算机致使他人受损失或有受损失危险的 行为,都是计算机犯罪。”
14
计算机犯罪的特点
• 损-失---大----，----对----象---广----泛----，---发----展----迅----速---，----涉----及----面---广---
➢ 计算机犯罪始于六十年代，七十年代迅速增长， 八十年代形成威胁。美国因计算机犯罪造成的损 失已在千亿美元以上，年损失达几十亿，甚至上 百亿美元，英、德的年损失也达几十亿美元。
8
计算机犯罪概念
---------------------------------------------------------------
➢ 折衷说：计算机本身在计算机犯罪中以“犯罪工具”或“犯罪对象”的 方式出现,这一概念注重的是计算机本身在犯罪中的作用。如： ➢ 德国学者施奈德认为:“计算机犯罪指的是利用电子数据处理设备作为 作案工具的犯罪行为或者把数据处理设备当作作案对象的犯罪行为。” ➢ 我国学者认为:“计算机犯罪是以计算机为工具或以计算机资产为对象 的犯罪行为。”
此外，在计算机犯罪中犯罪主体中内部人员也占有相当的比例。据有关统计， 计算机犯罪的犯罪主体集中为金融、证券业的“白领阶层”，身为银行或证 券公司职员而犯罪的占78%，并且绝大多数为单位内部的计算机操作管理人 员；从年龄和文化程度看，集中表现为具有一定专业技术知识、能独立工作 的大、中专文化程度的年轻人，这类人员占83%，案发时最大年龄为34岁。
计算机取证与分析鉴定课件
如相关信息被加密、删改、破坏、计算机病毒、黑客的 袭扰等情况。
这种情况下常用的取证方式包括：
—— 解密 —— 恢复 ——测试
证据获取
网络证据的保护和保存
对于已经获取的网络证据，妥善的保护和保存是极其 重要的，这将直接关系到证据的可用性和法律效力， 为此，必须做到：
形成监护链(Chain of Custody) 理解证据的形式和组成 拷贝原始证据到只读的媒介成为原始证据文件的副本，
是Network General公司 Sniffer企业网络管理系统的重 要组成部分
Sniffer Infinistream集成Sniffer业界领先的网络流量监 控和解码分析能力以及专家系统
同时具备大容量的存储能力，提供了业界领先的网络 故隔离和性能管理解决方案。
取证工具
Infinistream的技术特点
与此同时，网络犯罪却如同侵入人类社会这台巨型计算 机上的病毒一样，不断蔓延和增多，严重的危及网络的 生存和安全运行，同时也给国家安全、公共安全和人们 的生命、财产造成重大影响。
概述
网络取证
加大打击网络犯罪力度是形势所需。 为了更好的打击网络犯罪，我们必须了解网络环境中
证据提取的相关知识 本章主要从技术的角度介绍网络环境下计算机取证与
5）攻击现场(Attack scenario)：将攻击再现、重建并 按照逻辑顺序组织起来的事件。
证据获取
网络证据的来源
对于网络取证，其证据来源主要有
网络数据流 连网设备（包括各类调制解调器、网卡、路由器、集线
器、交换机、网线与接口等） 网络安全设备或软件（包括IDS、防火墙、网闸、反病
毒软件日志、网络系统审计记录、网络流量监控记录等 ）
证据获取
这种情况下常用的取证方式包括：
—— 解密 —— 恢复 ——测试
证据获取
网络证据的保护和保存
对于已经获取的网络证据，妥善的保护和保存是极其 重要的，这将直接关系到证据的可用性和法律效力， 为此，必须做到：
形成监护链(Chain of Custody) 理解证据的形式和组成 拷贝原始证据到只读的媒介成为原始证据文件的副本，
是Network General公司 Sniffer企业网络管理系统的重 要组成部分
Sniffer Infinistream集成Sniffer业界领先的网络流量监 控和解码分析能力以及专家系统
同时具备大容量的存储能力，提供了业界领先的网络 故隔离和性能管理解决方案。
取证工具
Infinistream的技术特点
与此同时，网络犯罪却如同侵入人类社会这台巨型计算 机上的病毒一样，不断蔓延和增多，严重的危及网络的 生存和安全运行，同时也给国家安全、公共安全和人们 的生命、财产造成重大影响。
概述
网络取证
加大打击网络犯罪力度是形势所需。 为了更好的打击网络犯罪，我们必须了解网络环境中
证据提取的相关知识 本章主要从技术的角度介绍网络环境下计算机取证与
5）攻击现场(Attack scenario)：将攻击再现、重建并 按照逻辑顺序组织起来的事件。
证据获取
网络证据的来源
对于网络取证，其证据来源主要有
网络数据流 连网设备（包括各类调制解调器、网卡、路由器、集线
器、交换机、网线与接口等） 网络安全设备或软件（包括IDS、防火墙、网闸、反病
毒软件日志、网络系统审计记录、网络流量监控记录等 ）
证据获取
计算机调查取证
取证过程
取证过程
取证准备(Preparation)操作准备 设备准备 证据识别(Identification)取 原始证据保存 证据分析(Analysis) 取证分析 结论报告 证据提交(Presentation) 证据展示
取证常用工具
计算机调查取证
法医学下的一个分支
01 用途
03 工作原理 05 取证原则
目录
02 取证目标 04 操作方法 06 取证方式
目录
07 取证步骤
09 取证常用工具
08 取证过程 010 后续发展
基本信息
计算机调查取证，是法医学下的一个分支，与法医相似，计算机调查取证是有关从计算机中获取电子证据并 加以分析的过程。近些年来，越来越多的电子证据被各类案件所涉及，计算机调查取证也逐渐成为一门热门专业。
取证常用工具
计算机取证常用工具有tcpdump、Argus、NFR、tcpwrapper、sniffers、honeypot、Tripwires、 Network monitor和镜像工具等。
后续发展
后续发展
作为新生的事物，电子取证面临很多挑战，越来越多的反侦查手段和软件被罪犯所采用，面对这些罪犯时， 证据的提取变得异常困难甚至根本找不到证据。但是随着电子取证系统的发展和法律的完善，正义一定会战胜邪 恶。
(2)确定电子证据。在计算机存储介质容量越来越大的情况下，必须根据系统的破坏程度，在海量数据中区 分哪些是电子证据，哪些是无用数据。要寻找那些由犯罪嫌疑人留下的活动记录作为电子证据，确定这些记录的 存放位置和存储方式。
(3)收集电子证据。
记录系统的硬件配置和硬件连接情况，以便将计算机系统转移到安全的地方进行分析。
谢谢观看
司法鉴定中的数字取证技术介绍
文件解析与识别技术
文件解析
对数字设备中的各类文件进行深入分 析，提取文件头、元数据、内容等信 息，以确定文件类型、来源和修改历 史等。
文件识别
通过特定算法对文件进行识别和分类 ，如识别图像、音频、视频等文件的 格式和内容，为后续分析提供基础。
时间戳分析与验证技术
时间戳分析
对数字设备中的时间戳信息进行提取和分析，以确定文件创建、修改和访问的 时间，为案件调查提供时间线索。
工作流程
数字取证技术的工作流程通常包括案件受理、现场勘查 、数据提取、数据分析、证据呈现和结案归档等步骤。 其中，案件受理是指接收案件并了解案情；现场勘查是 指对涉案数字设备或存储介质进行现场勘查和收集；数 据提取是指对收集到的数据进行提取和整理；数据分析 是指对提取的数据进行深入分析和挖掘；证据呈现是指 将分析结果以可视化、直观化的方式呈现出来；结案归 档是指将案件相关材料和证据进行整理和归档。
展望未来发展趋势
技术创新
随着人工智能、大数据等技 术的不断发展，数字取证技 术将不断创新，提高自动化 和智能化水平。
法规完善
随着数字技术的广泛应用， 相关法律法规将不断完善， 为数字取证技术的发展提供 有力保障。
国际合作
跨国犯罪和网络犯罪日益猖 獗，数字取证技术的国际合 作将成为未来发展的重要趋 势。
时间戳验证
通过与其他证据或信息进行比对，验证时间戳的真实性和准确性，以确定数字 证据的可靠性和完整性。
加密解密技术应用
加密技术应用
采用加密算法对重要数字信息进行加密处理，确保信息在传 输和存储过程中的安全性，防止未经授权的访问和篡改。
解密技术应用
在合法授权的情况下，利用解密算法对加密信息进行解密处 理，以获取原始信息内容，为案件调查提供证据支持。
第7章 计算机取证
记录取证调查工作
在调查取证时，应该把细节都记录 下来，而不是记忆在头脑中。 取证操作记录必须详细、完整。需 要但不完全包括以下内容： 证物软件的版本号 使用的收集工具 收集分析计算机媒体的方法 取证的每个步骤的细节和为什么这 样做的原因。
电子数据证据的法律性收集
证据的收集必须遵循法定的程序：我 国刑事诉讼法第43条就明确规定了收集证 据应当遵循的程序，民事诉讼法也规定了 收集证据的必须程序。由于电子证据的特 殊性，所以在电子证据的收集过程中既应 当遵循一般证据的收集的规则，又应当遵 循其特有的规则。
一般的删除文件操作，即使在清空 了回收站后，若不将硬盘低级格式化或 将硬盘空间装满，仍可将“删除”的文 件恢复过来。现在的取证软件已经具有 了非常好的数据恢复能力，同时，还可 以做一些基本的文件属性获得和档案处 理工作。
数据恢复以后，取证专家还要进行关键 字的查询、分析文件属性和数字摘要、搜寻 系统日志、解密文件等工作。由于缺乏对计 算机上的所有数据进行综合分析的工具，信 息发现的结果很大程度上依赖于取证专家的 经验。
目前，世界上比较发达的国家，纷纷设立 计算机警察： 德国设立了网络警察组织；在英国有CCV 的伦敦警察局犯罪部，；在法国巴黎有信息技 术犯罪稽查处；在美国佐治亚州有联邦执法培 训中心。 中国的网络警察队伍自从1994年前后建立 以来，为国民经济建设保驾护航做出了重大的 贡献。
处理证据要注意的法律问题
第七章 计算机取证
海军工程大学
主要内容
7.1 计算机取证概念
7.2 计算机取证技术
7.3 计算机取证工具
7.4 计算机反取证技术
7.5 小结
7.1 计算机取证的概念
7.1.1 计算机犯罪与电子证据
第1章 计算机取证概论PPT课件
27.07.2020
17
河南公安高等专科学校
计算机取证技术
1.3 计算机取证—交叉学科
1.3.1 计算机取证目标 1.3.2 计算机证据来源 1.3.3 计算机取证基本原则 1.3.4 计算机取证工作内容 1.3.5 计算机取证技术
27.07.2020
18
河南公安高等专科学校
计算机取证技术
1.3.1 计算机取证目标
– 计算机取证技术概念于2001年从国外引入国内，从入侵取证反黑客 开始，逐渐形成。
– 我国有关计算机取证的研究与实践尚在起步阶段，只有一些法律法 规涉及到了一些有关计算机证据的说明．如《关于审理科技纠纷案 件的若干问题的规定》，《计算机软件保护条例》《电子签名法》。
– 国内计算机取证学术活动事件主要有全国计算机取证技术研讨会和 中国计算机取证技术峰会。
“违反国家规定，对计算机信息系统中存储、处理或 者传输的数据和应用程序进行删除、修改、增加的操 作，后果严重的”行为。
“故意制作、传播计算机病毒等破坏性程序，影响计 算机系统正常运行，后果严重的”行为。
(3)《刑法》第二百八十七条规定了“利用计算机实施 金融诈骗，盗窃，贪污，挪用公款，窃取国家秘密或 其他犯罪的”。
数据恢复以后，还要仔细进行关键字查询、分析文件属性和数字摘要、
搜索系统日志、解密文件、评估 Windows交换区等工作。
27.07.2020
27
河南公安高等专科学校
计算机取证技术
归纳总结，计算机取证的工作内容主要包括： (1)在取证检查过程中，避免目标计算机系统发生任何的改变、损害、
数据破坏或病毒感染(如：及时拔掉网线，关闭机器电源)。 (2)使用数据恢复软件对该系统进行全面的数据恢复并备份所有数据。
项目一
• 在进入取证现场的时候对原始证据进行妥 善处理。
基础知识
计算机取证（Computer Forensics）
• 研究如何对计算机犯罪的证据进行获取、保存、 分析和出示的法律规范和科学技术。
司法鉴定
• 指在诉讼活动中鉴定人运用科学技术或者专门知 识对诉讼涉及的专门性问题进行鉴别和判断并提 供鉴定意见的活动。
• AIK命令行的当前目录位置修改为WinFE，执行以下命令
• peimg.exe /inf=C:\drivers\*.inf C:\winFE\mount\Windows
WIN FE启动盘的制作
如何制作WinFE启动光盘？
• 第六步：以上修改加载入WinFE的启动镜像 boot.wim
imagex.exe /unmount /commit C:\winFE\mount
• 第三步：修改镜像安装文件：使用RegEdit修改 WinFE启动方式
使用RegEdit加载WinFE的SYSTEM文件
• C:\winfe\mount\Windows\System32\config\SYSTE M
• 加载位置：HKEY_LOCAL_MACHINE • 命名为WinFE
HKEY_LOCAL_MACHINE\WinFE\ControlSet00 1\services\mountmgr下创建DWORD(32)项， 命名为NoAutoMount修改值为1
项目实施
任务一：计算机取证的程序和文档准备
• 计算机取证调查授权书必须至少明确以下内容： 委托人（法人）（签章）
委托人代表（签字）
受托人（法人或个人）（签章）
调查对象（范围）
调查目的
调查时间
项目实施
基础知识
计算机取证（Computer Forensics）
• 研究如何对计算机犯罪的证据进行获取、保存、 分析和出示的法律规范和科学技术。
司法鉴定
• 指在诉讼活动中鉴定人运用科学技术或者专门知 识对诉讼涉及的专门性问题进行鉴别和判断并提 供鉴定意见的活动。
• AIK命令行的当前目录位置修改为WinFE，执行以下命令
• peimg.exe /inf=C:\drivers\*.inf C:\winFE\mount\Windows
WIN FE启动盘的制作
如何制作WinFE启动光盘？
• 第六步：以上修改加载入WinFE的启动镜像 boot.wim
imagex.exe /unmount /commit C:\winFE\mount
• 第三步：修改镜像安装文件：使用RegEdit修改 WinFE启动方式
使用RegEdit加载WinFE的SYSTEM文件
• C:\winfe\mount\Windows\System32\config\SYSTE M
• 加载位置：HKEY_LOCAL_MACHINE • 命名为WinFE
HKEY_LOCAL_MACHINE\WinFE\ControlSet00 1\services\mountmgr下创建DWORD(32)项， 命名为NoAutoMount修改值为1
项目实施
任务一：计算机取证的程序和文档准备
• 计算机取证调查授权书必须至少明确以下内容： 委托人（法人）（签章）
委托人代表（签字）
受托人（法人或个人）（签章）
调查对象（范围）
调查目的
调查时间
项目实施
计算机取证与分析鉴定概论
netstat -s--本选项能够按照各个协议分别显示其统计 数据。
netstat -e--本选项用于显示关于以太网的统计数据。 netstat -r--本选项可以显示关于路由表的信息。 netstat -a--本选项显示一个所有的有效连接信息列表 netstat -n--显示所有已建立的有效连接。
Autoruns不仅可以检测出“开始”菜单“启动”组和注册表 中加载的自启动程序，而且还能显示出浏览器的加载 项以及自动启动的服务。
实例
网络查看工具: fport
Fport是查看系统进程与端口关联的命令，使用方法是 在命令行方式下输入Fport后回车，输出结果格式如下：
实例
网络查看工具: netstat
2 深入获取证据的途径
1）事件日志 2）注册表 3）系统密码 4）转储系统RAM
系统证据获取
日志
1 系统日志
Windows操作系统维护三个相互独立的日志文件：系统 日志、应用程序日志和安全日志。
2 服务程序日志
可以搜索这一时间范围内所有被修改、访问或删除的文 件以重建这一突发事件。通过仔细查看Web服务器日志 可以从中找出攻击的证据信息。
当刚装好系统后就给系统文件做md5校验，过了一段时 间如果怀疑系统被攻破了，某些文件被人换掉，那么就 可以给系统文件重新做个md5校验，若和从前得到的 md5校验码不一样，那么有可能系统已经被入侵过了。
进程工具：pslist
实例
实例
注册表工具：autoruns
autoruns具有全面的自启动程序检测功能，找出那些 被设定在系统启动和登录期间自动运行的程序，并显 示Windows加载它们的顺序。
总结
本章小结
netstat -e--本选项用于显示关于以太网的统计数据。 netstat -r--本选项可以显示关于路由表的信息。 netstat -a--本选项显示一个所有的有效连接信息列表 netstat -n--显示所有已建立的有效连接。
Autoruns不仅可以检测出“开始”菜单“启动”组和注册表 中加载的自启动程序，而且还能显示出浏览器的加载 项以及自动启动的服务。
实例
网络查看工具: fport
Fport是查看系统进程与端口关联的命令，使用方法是 在命令行方式下输入Fport后回车，输出结果格式如下：
实例
网络查看工具: netstat
2 深入获取证据的途径
1）事件日志 2）注册表 3）系统密码 4）转储系统RAM
系统证据获取
日志
1 系统日志
Windows操作系统维护三个相互独立的日志文件：系统 日志、应用程序日志和安全日志。
2 服务程序日志
可以搜索这一时间范围内所有被修改、访问或删除的文 件以重建这一突发事件。通过仔细查看Web服务器日志 可以从中找出攻击的证据信息。
当刚装好系统后就给系统文件做md5校验，过了一段时 间如果怀疑系统被攻破了，某些文件被人换掉，那么就 可以给系统文件重新做个md5校验，若和从前得到的 md5校验码不一样，那么有可能系统已经被入侵过了。
进程工具：pslist
实例
实例
注册表工具：autoruns
autoruns具有全面的自启动程序检测功能，找出那些 被设定在系统启动和登录期间自动运行的程序，并显 示Windows加载它们的顺序。
总结
本章小结
计算机网络安全第十章(计算机取证)
12/18/2013 11:31:05 PM
20/58
目录
2之2
取证原则
整个检查、取证过程必须是受到由其它方委派 的专家的监督；
必须保证提取出来的可能有用的证据不会受到 机械或电磁损害； 被取证的对象如果必须运行某些商务程序，要 确保该程序的运行只能影响一段有限的时间； 在取证的过程中，应当尊重不小心获取的任何 关于客户代理人的私人信息，不能将这些消息 泄露出去。
12/18/2013 11:31:05 PM
2/58
目录
6之2
一个案例
— 破案过程
1月17日，该局接到市民投诉，有人给她发送 含有7张色情图片的电子邮件。随后网络警察通过 查看邮件信息和市电信局服务器日志记录，发现 了发送该色情图片的电脑IP地址。而依据该IP地 址，查知该IP地址属梁瑞本的电脑。经向梁本人 询问，在投诉人接到邮件的时间内，梁正在家里 上网。带走他的电脑，并在其电脑中发现了那些 色情图片。
19/58
12/18/2013 11:31:05 PM
目录
2之1
取证原则
必须尽早搜集证据，并保证其没有受到任何破 坏；
必须保证在取证过程中，计算机病毒不会被引 入目标计算机； 必须保证“证据连续性”（chain of custody）， 即在证据被正式提交给法庭时，必须能够说明 在证据从最初的获取状态到在法庭上出现状态 之间的任何变化，当然最好是没有任何变化；
计算机取证
定义 电子证据 取证原则 取证步骤 取证方法 证据分析 常用工具 法律问题
12/18/2013 11:31:05 PM
1/58
目录
6之1
一个案例
— 案例情况 广东省阳江市一网民梁瑞本因被控乱发 色情图片被当地公安部门罚款1500元；梁 瑞本则称是黑客入侵系统后，利用他的机器 向外乱发色情图片，他据此向阳江市江城区 法院递交行政起诉状，请求撤消阳江市公安 局对他的处罚。（金羊网-新快报，新浪转 载）
20/58
目录
2之2
取证原则
整个检查、取证过程必须是受到由其它方委派 的专家的监督；
必须保证提取出来的可能有用的证据不会受到 机械或电磁损害； 被取证的对象如果必须运行某些商务程序，要 确保该程序的运行只能影响一段有限的时间； 在取证的过程中，应当尊重不小心获取的任何 关于客户代理人的私人信息，不能将这些消息 泄露出去。
12/18/2013 11:31:05 PM
2/58
目录
6之2
一个案例
— 破案过程
1月17日，该局接到市民投诉，有人给她发送 含有7张色情图片的电子邮件。随后网络警察通过 查看邮件信息和市电信局服务器日志记录，发现 了发送该色情图片的电脑IP地址。而依据该IP地 址，查知该IP地址属梁瑞本的电脑。经向梁本人 询问，在投诉人接到邮件的时间内，梁正在家里 上网。带走他的电脑，并在其电脑中发现了那些 色情图片。
19/58
12/18/2013 11:31:05 PM
目录
2之1
取证原则
必须尽早搜集证据，并保证其没有受到任何破 坏；
必须保证在取证过程中，计算机病毒不会被引 入目标计算机； 必须保证“证据连续性”（chain of custody）， 即在证据被正式提交给法庭时，必须能够说明 在证据从最初的获取状态到在法庭上出现状态 之间的任何变化，当然最好是没有任何变化；
计算机取证
定义 电子证据 取证原则 取证步骤 取证方法 证据分析 常用工具 法律问题
12/18/2013 11:31:05 PM
1/58
目录
6之1
一个案例
— 案例情况 广东省阳江市一网民梁瑞本因被控乱发 色情图片被当地公安部门罚款1500元；梁 瑞本则称是黑客入侵系统后，利用他的机器 向外乱发色情图片，他据此向阳江市江城区 法院递交行政起诉状，请求撤消阳江市公安 局对他的处罚。（金羊网-新快报，新浪转 载）
计算机取证与司法鉴定
经济在进步，信息产业获取了本身的快速提升。然而， 多样犯罪现今都可凭借计算机，犯罪形态日渐趋向于隐蔽。 新兴技术类的产业隐含了信息犯罪的潜在威胁，在产业进步 的态势下不应忽视与之相伴的信息安全。信息犯罪隐含了更 深更持久的伤害性，破坏了司法鉴定常态的秩序。若要遏制 犯罪，唯有依托更为完善的司法鉴定及高科技下的取证思路。 司法鉴定及新式计算机表现出交叉及包容的彼此联系，二者 不可割裂。作为新兴手段，计算机取证尤为注重把控合法及 科学性，防控取证的各类弊端。 循的规范。 经过取证后，依照根本性的法学机理递推，可得明晰的 证据报告。司法鉴定应把计算机取证当作参照。在鉴定实务 中，计算机取证应被归入新热点。在鉴定架构内，计算机取 证依循了根本性的尝试，构建完整框架。计算机新式取证采 纳智能特性的新手段，软硬件都提升了原先的智能性。取证 及新颖技术彼此整合，便于遏制且打击多样态的潜在性犯罪。 由此可见，司法鉴定及现今新式取证应紧密融汇成整体，而 前沿及交叉性的探析还会持久发展，更能便于案情鉴定。 1.2 取证的根本规则 价格认定应能做到全面且公正。在取证后，还要审查证 据的真实性、关联性和合法性。调取计算机证据，这类证据 可被用作当庭呈现。证据应被看作断案中的侧重点，便于查 明实情。取证要依循拟定的流程从严予以展开，经过先期调 研，获取并且留存多样的必备证据。计算机取证密切关乎案 件实情，要从严且合法。诉讼不可缺失缜密的前期取证，然 而计算机可获取的新式证据更易被删改，相比更脆弱。与此 同时，电子证据布设于分散性的较多地点，自身也很隐蔽。 为此，应能依循如下规则妥善获取证据。 1.2.1 取证应当合法 在凭借计算机取证时，价格认定唯有吻合根本法规才会 被视作有效。主体应当合法，对象也应合法。若有必要查验 某一微机设备，那么唯有案情密切关联这一设备才可着手取 证。与此同时，取证选定的各步骤都应吻合法规，采纳必备 的合法流程用作取证。唯有全面合法，获取的电子性证据才 可真正予以采纳。价格认定特有的范围内，应能搜集得出合 法性的认定证据，提取认定证据也应依循给出的流程。运用 证据前，也应妥善予以审查。唯有获取可调用的价格证据， 才可审慎追查隐含性的价格认定责任。针对形态多样的价格 证据，取证中还应妥善移交并且保留；在拆卸及开封某些证 据前，还要再次予以确认封存的证据完整。取证应当真实，
信息犯与与计算机取证ppt课件
精选编辑ppt
22
1.2.2 物理安全
物理安全是信息系统的安全基础。 定义：在遇到偷盗、间谍活动、阴谋破
坏和伤害时，为确保某人或某物的安全 和物质存在所采取的措施。
精选编辑ppt
23
将物理安全中面临的威胁分为： 自然破坏 人为破坏 环境破坏
精选编辑ppt
24
1. 自然破坏
自然破坏包括各种各样的自然灾害，例 如：火灾、洪水、地震、雪崩、火山爆 发等等。
精选编辑ppt
8
2. 完整性
总体而言完整性可以从两个方面进行考 虑：
一是数据内容本身的完整性，有时称为 数据内容完整性；
二是数据来源的完整性，有时称为数据 源完整性。
精选编辑ppt
9
数据内容完整性是指数据本身不被未授 权的修改、增加和删除等。
而数据源完整性是指数据的发送者就是 其所声称的来源是真实的，经常通过各 种认证机制实现。
精选编辑ppt
6
1. 机密性 即只有授权用户或系统才能对被保护的
数据进行访问。
在许多系统的安全目标或安全需求中都 会提到机密性。
精选编辑ppt
7
机密性除了用于保证受保护的数据内容 不被泄露外，数据的存在性也是机密性 所属范畴。
有的数据其存在与否，比知道其具体内 容更重要。
◦ 例如：在商业竞争中，多个企业竞争相同 的客户源，知道某个企业已经和某个客户 签订了合同有时比知道具体合同内容更重 要。在这种情况下，数据本身是否存在也 是一项机密数据。
精选编辑ppt
14
1.1.3 信息安全威胁
现有的安全威胁可以分为四大类： 截取 中断 伪造 篡改
精选编辑ppt
15
1. 截取
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
三者的取证主体对象是不完全相同的：计算机取证的主 体对象是计算机系统内与犯罪案例有关的数据信息；数 字取证的主体对象是存在于各种电子设备和网络中的数 字化的与犯罪案例有关的数据信息；而电子取证的主体 对象是指存储的电子化的、能反映有关案件真实情况的 数据信息。
相关概念
计算机取证的定义
关于计算机取证，目前还没有权威组织给出一个统一的定 义，很多的专业人士和机构从不同的角度给出了计算机取 证的定义。
因此，计算机取证是指通过收集计算机系统、网络系 统以及其它电子设备中以数字化的信息编码形式出现 的与案件有关的信息，对其进行保存、分析鉴定和出 示，用来证明犯罪活动的过程。
相关概念
计算机取证的原则
2000年3月，计算机证据国际组织IOCE着手规划关于获取 数字证据的相关原则，依据1999年在伦敦召开的国际高技 术犯罪和取证大会，向其下属机构提交了一份报告，提出 了一系列计算机取证的定义和原则。IOCE提交的报告中指 出计算机取证应该遵守的一般原则：
内容
计算机取证与分析鉴定的产生背景
计算机犯罪是最近才出现的犯罪行为，且具有很多与 传统证据不同的特点，这给计算机证据的获取、分析 与鉴定带来了极大的挑战。
计算机取证学(computer forensics)作为计算机科学、 法学和刑事侦查学的交叉学科应运而生。世界各国相 继展开了这方面的研究工作，随着计算机和网络技术 的发展，取证领域已经由计算机主机系统扩大到网络 系统以及其它电子设备
相关概念
计算机犯罪调查的简史
二十世纪四十年代，随着计算机首先在军事和科学工程领 域的应用，计算机犯罪已经开始出现，随着计算机技术的 迅猛发展，计算机逐步应用到各行各业，以计算机犯罪为 主的电子犯罪也呈现越来越多的势头。
到了二十世纪七十年代，在美国，人们已经意识到，由于 计算机证据不同于传统证据的特殊性，应该把利用计算机 进行的计算机入侵和计算机诈骗作为一种新的犯罪形式， 并通过了相关的法律。二十世纪八十年代，加拿大、澳大 利亚、英国等国政府相继制订了类似的法律。
来自网络的数字证据包括防火墙、入侵检测以及其它网 络工具产生的记录和日志信息等。
相关概念
计算机取证的定义
现在很多人将计算机取证也称为数字取证、电子取证， 但严格意义上来讲，这种提法是不恰当的。
英文翻译：计算机取证的翻译是Computer Forensics、 数字取证的翻译是Digital Forensics、电子取证的翻译 是Electronic Forensics，因此三者是有区别的
与其他理论和技术的融合 取证的标准化 分析鉴定技术的发展趋势
内容
电子科学与法学的结合
计算机取证与分析鉴定技术的发展历程告诉我们：这 门科学是为了打击计算机犯罪，获取法庭上的计算机 证据而发展起来的，然而要想成为法庭上可以接受的 认定犯罪事实的证据，计算机证据就必须具有足够的 法律效力，并且计算机证据是被法律认可的证据形式。
主讲：孙国梓 2020年7月8日
主要内容
计算机取证与分析鉴定的相关概念 计算机取证与分析鉴定的历史、发展 计算机取证与分析鉴定内容 计算机取证与分析鉴定模型、过程及策略 计算机取证与分析鉴定面临的难题和解决方法
相关概念
数字证据的定义
数字证据 (Digital Evidence)：法庭上可能成为证据的 以二进制形式存储或传送的信息。
相关概念
计算机证据的归档
在计算机证据的取证与分析鉴定过程的最后阶段，应 整理最终结果供法庭作为诉讼的证据，这主要涉及对 取证的内容、专家分析的结果和评估报告等信息进行 归档处理。
由于计算机证据的特殊性，在处理计算机证据时，为 保证法庭上的可信度，必须对各个步骤的情况进行归 档以使证据经得起法庭的质询。
时都必须遵守这些原则。
相关概念
计算机证据的特点及对取证的影响
计算机证据与传统证据最本质的区别，也是计算机证 据最根本的特点就是计算机证据的记录方式的特殊性， 其他特性都受这一根本特性的影响。计算机证据的主 要特性如下：
①计算机证据的信息与载体的可分离性和信息的高科技 性
②计算机证据的系统依赖性 ③脆弱性 ④隐蔽性 ⑤可挽救性
数字证据作为一种可以证明案件事实的证据形式和法 庭上的证据，与传统证据一样，数字证据必须是：
①可信的 ②准确的 ③完整的 ④使法官信服的 ⑤符合法律法规，能够为法庭所接受的
相关概念
数字证据的特点
与传统证据相比，数字证据具有如下特点：
①无形性 ②高科技性 ③易破坏性 ④表现形式的多样性
取证技术和电子犯罪的高速发展，已经促使出现了新的职 业需求：数字犯罪现场技术员——收集数字证据的人员； 检验员——处理已获得的证据；数字调查员——分析所有 的现存证据并得出案件犯罪案例
案例一：
1995年，国外的某银行遭到一群苏骇客入侵，损失一千 万元。除了金钱的损失以外，其后遗症是，有六家对手 银行，立刻锁定该银行的前二十大客户，游说他们转换 银行，这些银行所持的理由是他们的计算机系统比较安 全。
无病毒鉴定：确保计算机证据没有受到病毒的侵害。 载体状况鉴定：针对计算机证据不同的承载载体进行鉴
定，确保承载载体不会出现任何损伤。
相关概念
计算机证据分析鉴定的标准和方法
与书证等其它传统证据一样，计算机证据分析鉴定的 最终结果也同样表现为对保存与销毁的选择和对留存 证据保管期限的确定。
计算机证据的特殊性使得它的保管期限标准、鉴定的 标准和方法等各方面都与传统证据有很大的不同，因 此应该结合各国的法律针对其做出相应的规定。
③计算机证据的高科技性决定了其收集手段必然与传统证据的收集 手段有很大的不同，主要分为数据恢复、数据搜索和解密、动态截 获等技术。
④计算机证据的诸多特点导致了它的取证过程与标准也与传统证据 不同，这就要求计算机证据的整个取证过程需有更严格的标准予以 规范。
相关概念
计算机证据分析鉴定的定义
当计算机证据收集完毕后，对其进行分析鉴定就成为 一项必不可少的工作。
教材
计算机取证与司法鉴定. 清华大学出版社, 2009, 2. (978-7-302-19345-6)
主编：麦永浩 孙国梓 许榕生 戴士剑
课程主要内容
1 计算机取证与司法鉴定理论基础 (6 学时) 2 Windows/Unix/Linux系统的计算机取证和司
法鉴定 (8 学时) 3 网络取证与司法鉴定 (6 学时) 4 木马取证与司法鉴定 (4 学时) 5 手机取证与司法鉴定 (4 学时) 6 计算机取证与司法鉴定案例 (4 学时)
相关概念
几个典型的计算机犯罪案例
案例二：
两个中国大陆的网络骇客入侵银行的网络系统，窃取人 民币260,000元。据报导指出，这两个骇客是郝氏兄弟， 哥哥郝某，是某工商银行的会计，管理该银行的网络系 统。他们用不同的户名在该银行的某分行开了十六个帐 户，并且在银行计算机终端机植入一个控制的装置。后 来，他们利用该装置，将虚拟存款720,000人民币电汇 进入银行帐户内。之后，他们成功地从该银行的八个分 行领出真实的钞票——人民币260,000元。后来这两名 骇客被江苏省的杨州法院判处有罪。
历史、发展
计算机取证与分析鉴定发展的历史
国外的研究概况
国内的研究概况
目前的发展情况
当前的技术状况
1）单机与其它电子设备取证 2）网络取证 3）分析鉴定技术
一些常用的取证工具
1）实时响应工具 2）取证复制工具 3）取证分析工具
历史、发展
历史、发展
未来发展的趋势
取证的领域不断扩大，取证的工具向着专业化和自动 化发展
计算机证据的技术鉴定所承担的责任是对计算机证据 的各方面技术状况进行全面的检查，包括对信息真实、 可靠、完整、可读性的认定和对文件载体性能的检测。 一般从以下几方面进行：
可读性鉴定：目的在于确认计算机证据中的内容可以正 常读出，没有丢失和差错。
可靠性鉴定：主要是针对计算机证据内容的真实性与完 整性进行鉴定。
中国科学院高能物理研究所研究员许榕生教授则认为，计算 机取证是指对能够为法庭接受的、足够可靠和有说服性的， 存在于计算机和相关外设中的电子证据的确认、保护、提取 和归档的过程。
相关概念
计算机取证的定义
以上的定义都有一个明显的共同点，取证的目标是计 算机系统，然而，随着信息技术的发展，计算机取证 的取证目标不再仅仅是计算机系统，还有网络系统和 其它的电子设备
原始数字证据(Original Digital Evidence)：查封犯罪 现场时，获得的相关物理介质及其存储的数据对象。
数字证据副本(Duplicate Digital Evidence)：原始物理 介质上获取的所有数据对象的精确拷贝。
拷贝(COPY)：独立于原始物理介质，精确再现数据对 象中的信息。
相关概念
计算机证据的特点及对取证的影响
计算机证据的上述特点对取证和分析鉴定过程产生重大的影响， 这主要体现在以下几个方面：
①计算机证据的收集过程需要较高的技术要求，需要取证人员具备 较高的专业素质和技能。
②计算机证据的系统依赖性决定了收集证据时，不仅需要收集计算 机证据，还需收集与系统稳定性及软件的使用等情况的证明。而计 算机证据的可挽救性及隐蔽性则决定了收集证据的活动要全面、综 合地进行，运用高科技手段检测是否有隐藏文件以及硬盘中是否有 被删除的证据。
相关概念
数字证据的来源
主要有两个方面：一是来自主机等电子设备的，另一 方面是来自网络的。
数字证据主要来源于主机系统，包括系统日志文件、备 份介质、入侵者残留物（如程序、脚本、进程、内存映 像）、交换区文件、临时文件、硬盘未分配的空间(一 些刚刚被删除的文件可以在这里找到)、系统缓冲区、 打印机及其它设备的内存等。
Judd Robbins是计算机取证方面的一位著名的专家和资深人 士，他对计算机取证的定义如下:“计算机取证不过是将计算 机调查和分析技术应用于对潜在的、有法律效力的证据的确 定与获取”。
相关概念
计算机取证的定义
关于计算机取证，目前还没有权威组织给出一个统一的定 义，很多的专业人士和机构从不同的角度给出了计算机取 证的定义。
因此，计算机取证是指通过收集计算机系统、网络系 统以及其它电子设备中以数字化的信息编码形式出现 的与案件有关的信息，对其进行保存、分析鉴定和出 示，用来证明犯罪活动的过程。
相关概念
计算机取证的原则
2000年3月，计算机证据国际组织IOCE着手规划关于获取 数字证据的相关原则，依据1999年在伦敦召开的国际高技 术犯罪和取证大会，向其下属机构提交了一份报告，提出 了一系列计算机取证的定义和原则。IOCE提交的报告中指 出计算机取证应该遵守的一般原则：
内容
计算机取证与分析鉴定的产生背景
计算机犯罪是最近才出现的犯罪行为，且具有很多与 传统证据不同的特点，这给计算机证据的获取、分析 与鉴定带来了极大的挑战。
计算机取证学(computer forensics)作为计算机科学、 法学和刑事侦查学的交叉学科应运而生。世界各国相 继展开了这方面的研究工作，随着计算机和网络技术 的发展，取证领域已经由计算机主机系统扩大到网络 系统以及其它电子设备
相关概念
计算机犯罪调查的简史
二十世纪四十年代，随着计算机首先在军事和科学工程领 域的应用，计算机犯罪已经开始出现，随着计算机技术的 迅猛发展，计算机逐步应用到各行各业，以计算机犯罪为 主的电子犯罪也呈现越来越多的势头。
到了二十世纪七十年代，在美国，人们已经意识到，由于 计算机证据不同于传统证据的特殊性，应该把利用计算机 进行的计算机入侵和计算机诈骗作为一种新的犯罪形式， 并通过了相关的法律。二十世纪八十年代，加拿大、澳大 利亚、英国等国政府相继制订了类似的法律。
来自网络的数字证据包括防火墙、入侵检测以及其它网 络工具产生的记录和日志信息等。
相关概念
计算机取证的定义
现在很多人将计算机取证也称为数字取证、电子取证， 但严格意义上来讲，这种提法是不恰当的。
英文翻译：计算机取证的翻译是Computer Forensics、 数字取证的翻译是Digital Forensics、电子取证的翻译 是Electronic Forensics，因此三者是有区别的
与其他理论和技术的融合 取证的标准化 分析鉴定技术的发展趋势
内容
电子科学与法学的结合
计算机取证与分析鉴定技术的发展历程告诉我们：这 门科学是为了打击计算机犯罪，获取法庭上的计算机 证据而发展起来的，然而要想成为法庭上可以接受的 认定犯罪事实的证据，计算机证据就必须具有足够的 法律效力，并且计算机证据是被法律认可的证据形式。
主讲：孙国梓 2020年7月8日
主要内容
计算机取证与分析鉴定的相关概念 计算机取证与分析鉴定的历史、发展 计算机取证与分析鉴定内容 计算机取证与分析鉴定模型、过程及策略 计算机取证与分析鉴定面临的难题和解决方法
相关概念
数字证据的定义
数字证据 (Digital Evidence)：法庭上可能成为证据的 以二进制形式存储或传送的信息。
相关概念
计算机证据的归档
在计算机证据的取证与分析鉴定过程的最后阶段，应 整理最终结果供法庭作为诉讼的证据，这主要涉及对 取证的内容、专家分析的结果和评估报告等信息进行 归档处理。
由于计算机证据的特殊性，在处理计算机证据时，为 保证法庭上的可信度，必须对各个步骤的情况进行归 档以使证据经得起法庭的质询。
时都必须遵守这些原则。
相关概念
计算机证据的特点及对取证的影响
计算机证据与传统证据最本质的区别，也是计算机证 据最根本的特点就是计算机证据的记录方式的特殊性， 其他特性都受这一根本特性的影响。计算机证据的主 要特性如下：
①计算机证据的信息与载体的可分离性和信息的高科技 性
②计算机证据的系统依赖性 ③脆弱性 ④隐蔽性 ⑤可挽救性
数字证据作为一种可以证明案件事实的证据形式和法 庭上的证据，与传统证据一样，数字证据必须是：
①可信的 ②准确的 ③完整的 ④使法官信服的 ⑤符合法律法规，能够为法庭所接受的
相关概念
数字证据的特点
与传统证据相比，数字证据具有如下特点：
①无形性 ②高科技性 ③易破坏性 ④表现形式的多样性
取证技术和电子犯罪的高速发展，已经促使出现了新的职 业需求：数字犯罪现场技术员——收集数字证据的人员； 检验员——处理已获得的证据；数字调查员——分析所有 的现存证据并得出案件犯罪案例
案例一：
1995年，国外的某银行遭到一群苏骇客入侵，损失一千 万元。除了金钱的损失以外，其后遗症是，有六家对手 银行，立刻锁定该银行的前二十大客户，游说他们转换 银行，这些银行所持的理由是他们的计算机系统比较安 全。
无病毒鉴定：确保计算机证据没有受到病毒的侵害。 载体状况鉴定：针对计算机证据不同的承载载体进行鉴
定，确保承载载体不会出现任何损伤。
相关概念
计算机证据分析鉴定的标准和方法
与书证等其它传统证据一样，计算机证据分析鉴定的 最终结果也同样表现为对保存与销毁的选择和对留存 证据保管期限的确定。
计算机证据的特殊性使得它的保管期限标准、鉴定的 标准和方法等各方面都与传统证据有很大的不同，因 此应该结合各国的法律针对其做出相应的规定。
③计算机证据的高科技性决定了其收集手段必然与传统证据的收集 手段有很大的不同，主要分为数据恢复、数据搜索和解密、动态截 获等技术。
④计算机证据的诸多特点导致了它的取证过程与标准也与传统证据 不同，这就要求计算机证据的整个取证过程需有更严格的标准予以 规范。
相关概念
计算机证据分析鉴定的定义
当计算机证据收集完毕后，对其进行分析鉴定就成为 一项必不可少的工作。
教材
计算机取证与司法鉴定. 清华大学出版社, 2009, 2. (978-7-302-19345-6)
主编：麦永浩 孙国梓 许榕生 戴士剑
课程主要内容
1 计算机取证与司法鉴定理论基础 (6 学时) 2 Windows/Unix/Linux系统的计算机取证和司
法鉴定 (8 学时) 3 网络取证与司法鉴定 (6 学时) 4 木马取证与司法鉴定 (4 学时) 5 手机取证与司法鉴定 (4 学时) 6 计算机取证与司法鉴定案例 (4 学时)
相关概念
几个典型的计算机犯罪案例
案例二：
两个中国大陆的网络骇客入侵银行的网络系统，窃取人 民币260,000元。据报导指出，这两个骇客是郝氏兄弟， 哥哥郝某，是某工商银行的会计，管理该银行的网络系 统。他们用不同的户名在该银行的某分行开了十六个帐 户，并且在银行计算机终端机植入一个控制的装置。后 来，他们利用该装置，将虚拟存款720,000人民币电汇 进入银行帐户内。之后，他们成功地从该银行的八个分 行领出真实的钞票——人民币260,000元。后来这两名 骇客被江苏省的杨州法院判处有罪。
历史、发展
计算机取证与分析鉴定发展的历史
国外的研究概况
国内的研究概况
目前的发展情况
当前的技术状况
1）单机与其它电子设备取证 2）网络取证 3）分析鉴定技术
一些常用的取证工具
1）实时响应工具 2）取证复制工具 3）取证分析工具
历史、发展
历史、发展
未来发展的趋势
取证的领域不断扩大，取证的工具向着专业化和自动 化发展
计算机证据的技术鉴定所承担的责任是对计算机证据 的各方面技术状况进行全面的检查，包括对信息真实、 可靠、完整、可读性的认定和对文件载体性能的检测。 一般从以下几方面进行：
可读性鉴定：目的在于确认计算机证据中的内容可以正 常读出，没有丢失和差错。
可靠性鉴定：主要是针对计算机证据内容的真实性与完 整性进行鉴定。
中国科学院高能物理研究所研究员许榕生教授则认为，计算 机取证是指对能够为法庭接受的、足够可靠和有说服性的， 存在于计算机和相关外设中的电子证据的确认、保护、提取 和归档的过程。
相关概念
计算机取证的定义
以上的定义都有一个明显的共同点，取证的目标是计 算机系统，然而，随着信息技术的发展，计算机取证 的取证目标不再仅仅是计算机系统，还有网络系统和 其它的电子设备
原始数字证据(Original Digital Evidence)：查封犯罪 现场时，获得的相关物理介质及其存储的数据对象。
数字证据副本(Duplicate Digital Evidence)：原始物理 介质上获取的所有数据对象的精确拷贝。
拷贝(COPY)：独立于原始物理介质，精确再现数据对 象中的信息。
相关概念
计算机证据的特点及对取证的影响
计算机证据的上述特点对取证和分析鉴定过程产生重大的影响， 这主要体现在以下几个方面：
①计算机证据的收集过程需要较高的技术要求，需要取证人员具备 较高的专业素质和技能。
②计算机证据的系统依赖性决定了收集证据时，不仅需要收集计算 机证据，还需收集与系统稳定性及软件的使用等情况的证明。而计 算机证据的可挽救性及隐蔽性则决定了收集证据的活动要全面、综 合地进行，运用高科技手段检测是否有隐藏文件以及硬盘中是否有 被删除的证据。
相关概念
数字证据的来源
主要有两个方面：一是来自主机等电子设备的，另一 方面是来自网络的。
数字证据主要来源于主机系统，包括系统日志文件、备 份介质、入侵者残留物（如程序、脚本、进程、内存映 像）、交换区文件、临时文件、硬盘未分配的空间(一 些刚刚被删除的文件可以在这里找到)、系统缓冲区、 打印机及其它设备的内存等。
Judd Robbins是计算机取证方面的一位著名的专家和资深人 士，他对计算机取证的定义如下:“计算机取证不过是将计算 机调查和分析技术应用于对潜在的、有法律效力的证据的确 定与获取”。