取证工具及产品评估方法浅探.pdfVIP

第二十一次全国计算机安全学术交流会论文 取证工具及产品的评估方法浅探 王 宁 黄玉萍 刘志军 湖北警官学院 摘要：法庭在接受由取证工具产生的电子证据分析报告之前，会对所采用科学方法的有效 性进行仔细的评估，如果发现科学方法存在问题，就会影响到电子证据的可接受性 或权重。本文针对这个问题，探讨了验证处理电子证据工具及产品的几种方法。 关键词：电子证据工具和技术评估方法 一、目前的取证工具应用现状 等工具产品。而“取”网络电子证据的工具也有很多， Clint 取证专家Reith Mark认为：计算机取证 (computerforensics)可以认为是“从计算机中收集和 有一些获取本地网络状态信息的工具，如netstat、 发现证据的技术和工具”。取证技术是针对一台可能 route、arp等。 含有证据的非在线／在线的计算机进行证据获取的 “证”电子证据的产品和工具：NewTechnology 技术，包括存储设备的数据获取、数据恢复技术、隐 公司的Ptable工具可以用来分析硬盘驱动器的分区 藏数据的再现技术、加密数据的解密技术和数据挖 情况。其Filter_we工具可以对磁盘数据根据所给的 掘技术等分析技术。 关键词进行模糊搜索。NTl公司的软件系统Net “取”电子证据的产品和工具：目前国、内外市场 Threat Analyzer使用人工智能中的模式识别技术，分 上，进行硬盘数据拷贝的软硬件产品有为司法需要 析slack磁盘空间、未分配磁盘空间、自由空间中所 而特殊设计的SOLOIII、SOLOII、MD5、SF一5000专 包含的信息，研究sw印文件、缓存文件、临时文件及 用硬盘取证设备，有适合IT业硬盘复制需要的 网络流动数据。有专用的文本的搜索分析工具Dt- JumBODD一212、SolitairTurbo、Echo SONIX、Magic 硬盘拷贝机；有以软件方式实现硬盘数据全面获取 也在应用中。国际取证专家普遍看好的“证”电子证据 Forensic 的取证分析软件，如FTK、Parabon7BRe曲一 Coronor’s 的工具是TCT(the cator；有综合实现硬盘取证和数据分析需要的多功能 具。 MASSter 取证箱，如Road II、计算机犯罪取证勘查箱 (金诺网安)、“天字”移动介质取证箱(北京天宇晶 二、取证工具及产品的问题分析 远)、“网警”计算机犯罪取证勘察箱(厦门美亚)；此 外，还有针对无法打开机箱的计算机硬盘专用获取 法庭对电子证据的采用是有一定的标准，即采用 设备，如unkMassterII、“全能拷贝王”、CD一500等。证据的客观性标准．证据的客观性是指证据应该具有 数据恢复技术的产品和工具有fatback、TheSleuth、客观存在的属性；采用证据的关联性标准，证据必须 与需要证明的案件事实或其他有争议的事实具有一 SMART、Ontrack的Easy—RecoveryPm、可恢复修复 土会论文 ·281- 定的联系；采用证据的合法性标准，合法性是采用证 法庭的科学要求”。同时，还没有针对所有类型的法学 据的重要标准之一，它