论计算机取证相关问题——现场动态分析，获取“易挥发”数字证据.pdfVIP

维普资讯 llI {)《法鉴定 J0l 0r ．． T 甏 论计算机 现场动态分 (西南政 法 [摘 要1由于 目前计算机专业取证人员数量的不足 ，当前司法 WANGJun (GraduateFacultyofSouthwestUniversityofPolitical 实践 中对于现场 中正 处于运行 状态 的计算机大 多采用 “： 步 ScienceandLaw，Chongqing400031，China) 式 ”取证 的方式来搜集数 字证 据 。即先 由侦查人 员对涉案计 算 A【bstract]Duetolackofcomputerforensicsprofessionals，the 机实施关机分离和保全 。尔后再移交专业机构进行数 字证 据 司 t‘‘wo-steps”approachiscommonlyadoptedtogatherdigitalevi— 法 鉴 定 。这 种 方 式 虽然 保 障 了数 字 证 据 的原 始 性和证 明力 。但 denceintherunningcomputeratthecrimescene，thatis，unplug- 无 形 之 中造 成 了存 储在 RAM 中的 ”易挥 发 ”数据 以及 其 他 形 式 gingtheurnningcomputerandbookingitintoevidencefacilities 的潜在数 字证据 的丢失 。而计算机信 息 系统 中的这些 “易挥 发 first，thensubmittingittotraineddigitalevidenceexpelsforex— 数 据 ”可 以 为案件 的侦破提供重要线索和潜在 的数字证据 。因 amination．Althoughthismethodprotectstheaboriginalityandin— 此 通过对 侦 查 人 员的专业 培 训 ．实现 “易挥 发数据 ”的现 场动 态 tegrityofdigital evidence，itleadstothelossof”volatile data” 获取和合理保全对数 字案件侦查取证 意义重大 。 storedinRAM andinotherofrlns．The “volatiledata”canoften f关键词1计 算机取证 ；现场动 态分析 ：易挥发数据 ；收集 providecrucial cluesandevidenceofrcrimeinvestigation，SOitis 中『图分类号1DF793．2 necessarytomakeliveanalysison—sceneto acquirethem．Itis 文『献标 识码1A recommendedthatinvestigatorsbegivenprofessionalrtainingsnad [文章编号1167l一2072一(20o8)Ol一0o2 O5 gettheliveanalysisskil1． LiveAnalysison-ScenetoCollect “VolatileDigitaIEvi- 【Keywords]computerforensics；liveanalysison—scene；volatile dence”inRunningComputers data；collection 原始数据进行备份保全 ．尔后对备份 的数据进行检 1 计算机取证的传统方法分析