电子数据取证系统

2010
2005
1999
1992
- 手动查询
手动观察查询收集手机、电脑信息
- 借助小工具 easyrecovery软件.... - 国外取证分析软件
◐EnCase ( Guidance Software)
美国
◐Intella ◐CelleBrite UFED ◐Oxygen forensic suite ◐......
▶2015年5月1日起施行的新《行政诉讼法》在证据种类方面作出重要修改， 增加了新的证据种类——电子数据。“可以用于证明案件真实的材料，都是
证据。”
33条
▶证据包括：
（一）物证； （二）书证； （三）证人证言；
（五）视听资料 （六）鉴定意见； （七）勘验、现场笔录； （八）电子数据 证 据 之 王
●什么是散列值？
-由散列算法生成的信息摘要叫散列值，也 称为哈希值。
●常见的散列值算法有：
- MD5 - SHA-1 - SHA-265 - ......
●散列值的意义：校验数据的完整性、原始性
▶公安部
-《计算机犯罪现场勘验与电子证据检查规则》(公信安[2005]161号）
▶高检、高法
-《最高人民法院、最高人民检察院关于办理计算机信息安全刑事案
- 使用软件和工具，按照一些预先定义的程序全面的检查计算机系统，
以提取和保护有关犯罪证据
-计算机、平板电脑、手机、CD/DVD、打印机、扫描仪、GPS导航
仪、照相机、摄像机、各种存储卡等.....
电子数据概念
• 从某种意义上讲，电子数据鉴定（检验）就是对涉案存储介质进行特殊形式 的"痕检"，提取出与案情有关的内容，如：
• RAID磁盘组
根据数据源类型进行选择
四个选择
自
动
取 证
制 作
报
告
根据选择查看数据的方式输出的文本（格式可在原始、文本、十六 进制之间选择）
文件系统等底层技术比较好 支持较多国外应用软件 功能完善，支持二次开发 国际化支持，支持多国语言
-wk.baidu.com子数据取证面临的挑战
• 违法活动的手段日趋多元化，且更具隐蔽性 • 涉案电子数据量日趋增大 - 介质数量大
介质数量大 专业人员短缺
- 磁盘容量大
• 移动终端应用多样化 - 即时通讯软件
- 社交服务软件
◆原则一：不损坏原则（只读锁） - 只读锁通过屏蔽写信息，确保不会修改不良行为嫌疑人的硬盘，这样就具有司法有效性。
- 电子证据只读锁已成为计算机取证的标准配置工具，其获取的证据的有效性已经
被法庭采信。
◆原则二：避免使用原始证据原则（硬盘复制机）
- 利用专门的复制设备将原始存储介质（主要是硬盘）中的电子数据安全
件应用法律若干问题的解释》（法释[2011]19号）
▶其他
-《网络商品交易及有关服务行为管理暂行办法》
-《互联网信息服务管理办法》
-《关于工商行政管理机关电子数据取证工作的指导意见》 -《信息安全等级保护管理办公》(公通字[2007]43号) -《互联网安全保护技术措施规定》 -《通信网络安全防护管理办法》
◐FTK(Accessdarta)
德国
美国
◐X-ways Forensic ◐FBI Desktpo (Nuix)
美国
- 国内取证分析软件
手机取证一体机 取证大师
-国内外取证分析软件对比
国外取证软件的优点
.
国内取证软件的优点
对于中文完美支持 支持国内应用软件的取证 自动化操作，一键取证 服务到位，技术支持响应及时
复制下来，后续取证分析过程都是基于复制产生的副本进行。
◆原则三：记录所做的操作
-调查过程中，应记录电子证据的相关操作，第三方应能根据之前记录的操
作，取得相同的结果。 ◆原则四：遵循相关法律法规 -各个国家及地区都有相应的法律法规，应根据当地法律法规来进行电子数 据取证
▶应用领域
- 公检法机关（公安、检察院、法院、部队）
捷
◆拥有多项全球领先的技术创新
◆静动结合的取证特点，符合实战需要
痕迹分析
取证大师
·
解析痕迹
用户 痕迹
程序 痕迹
系统痕 迹
分析上网信息
·
分析邮件信息
邮件 文件 web 邮件
取证大师 邮件客 户端
分析聊天信息
取证分析四部曲
新
建
案
例
添 加 设 备
取证分析数据源类型 • 本地驱动器
• 磁盘镜像
• 单一文件/文件夹
（四）当事人陈述；
▶英国高级警官协会（ACPO）制定“基于计算机的电子证据实 践指南”
- Good practice Guide for Computer Based Evidence
▶美国司法部—"电子证据犯罪现场调查"
- us Department of Justice -Electronic Crime Scence Investigations
- 办公文档 - 电子邮件 - 即时聊天记录 - 上网记录 - 多媒体文件 - 数据库文件 - 账号密码 - 日志文件 - 其他类型电子数据
特点：
- 电子证据与传统证据相比，不容易发现和检查，需要借助 相关的设备及工具软件
Windows资源管理器 数据恢复软件 取证软件
数据冰山
图解
如何证明分析对象与原始数据一致？
• 专业调查人员紧缺
• 数据采集系统多元化
• 数据分析系统集成化
• 海量数据结构化 • 云取证环境
关于取证大师
◆取证大师是美亚柏科自主研发的电子物证取证的拳头产品，
国内第一个自主知识产权的综合计算机犯罪调查取证软件。
◆电子物证固定、分析、报告生成等取证基本功能 ◆国内首创的模块化智能取证分析技术，操作简易、快
- 行政执法机关（证监会、银监会、保监会、等政务监督部门；税务稽查 部门、海关；工商管理部门） - 其他民用（社会公众（数据恢复及销毁）；企业事业单位（知识产权保 护及企业内部调查））
如今
2012
基于文件系统的磁盘数据取证分析 统一管理CNAS实验室 集成、并行取证技术 针对国情的专业分析软件 国外取证分析软件 借助小工具
电子数据取证技术
静态电子数据取证技术和动态电子数据取证技术
目录
（1）电子数据取证的概述 （2）学术名词 （3）法律依据 （4）四大基本原则 （1）应用领域 （2）发展历程 （3）面临的挑战 （4）发展趋势
电子数据取证的概述 截止2015年6月基础数据 - 我国网民规模达到6.68亿 - 互联网普及率达到48.8%（中经） - 手机网民规模5.94亿，比重达网民的88.9%（新华）