网络案件情报需要补充的内容2解剖.ppt

网络案件情报分析需要补充的内容 顾益军 涉案人员的心理分析 案例一宗普通的网银盗窃 事主柳×报案称，他本人在www.3c3g.c om高天一数码港网站做卖手机（事主柳×的网名叫做高天一），并公布了自己的银行帐号用于做生意。某日早晨，有一封来自hkx88@主题为“我偷了你的钱”的电子邮件 ，柳×查询得知银行账户上的4580元人民币全部被转出提现。 涉网案件的犯罪现场重建 现场重建的作用 1. 确保证据的可靠性； 运用现场重建，可以使勘查分析更严密、精确，提高侦查的科技含量，避免经验主义的错误，使证据更加可靠。 2. 确保侦查方向的准确性； 有助于办案人员深化对犯罪现场细节的认识，加强分析思维的系统化程度，提高勘查分析的质量，为侦破案件打下坚实的基础。(举例：中国人寿被敲诈勒索案) 3. 能最大限度的体现网警办案的科技含量； 大趋势—分局成立工作站，我们要对分局进行业务指导，优势就体现在这里（举例：南山网络银行被盗窃案）。 现场重建的方法 1. 现场物证与资料的收集； 重建可以看成一个事实的收集过程（李昌钰语）。 现场要收集那些东西？ 2. 现场物证的个性化； 典型个性化—形成独有的线索（如QQ、Email） 聚类分析—推测人群、行为特征 3. 形成推测与假设； 4. 验证假设。 发散性思维与反向思维 检查重建材料 核查技术检测数据和方法 逻辑检查 案例分析 2009年1月7日，某派出所接到报案：赵云霞，于2008年12月27日晚，从住处(某花园F座21房)失踪，至今去向不明。经调查，赵云霞的银行卡被多次提款，笔记本电脑丢失。于是该派出所立为刑事案件，进行初步调查。 需要解决的问题： 该事件是否为刑事案件？ 赵云霞是否遇害？ 嫌疑人的情况？ 可以找到的网络线索有哪些？ 收集资料： 2008.12.27晚，在住所 身份证车牌：粤B82G00 电脑：sony，VGN-TZ27GN/RET 电话行账号：6227007200380168064、4895920301612668 上网方式：szchouhg@163.gdEmail：gigizhao@，gigi and stegmann gigizhao@，chengyingzhu QQ:531729992支付宝：gigi_zhao@，kelvin2000105 现场重建： 圣诞-元旦：修车+手机转到秘书台 2008.12.27 19:18 上网 2008.12.27 11:20 手机发送最后一个短信 2008.12.28 01:23 下网 2008.12.28 13时 银行卡提款（住所附近） 2008.12.29 11时 银行卡提款（珠海） 2008.12.30 12时 银行卡提款（莲塘） 2009.1.1 16时 银行卡提款（彩田，光大银行） 2009.1.1 13时 SIM卡启动（华强北） 2009.1.4 4时 银行卡提款（莲塘，农业银行） 2009.1.4 5时 银行卡提款（莲塘，邮政储蓄） 2009.1.11 21~22时 MSN上线（白石洲） 推断作案的时空要素 1、有关人员提供的信息 犯罪行为的发生，可能被事主、被害人、其他群众所了解，提供情况。 2、电子文档、信息系统记载时间 死者最后一次打手机、接手机、电话的时间，ADSL上网的时间，电子邮件发送和接受的时间，以及各种票据的时间 3、痕迹物品变化的情况 计算机便签纸记载的各种账号登陆情况，QQzone留下的访问时间。 4、各种文档的访问、修改时间 5、上网记录的时间 6、各类的URL、IP、Mac地址 推断当事人的关系 1、QQ--聊友 2、MSN--工友 3、Email--商友 4、5460--校友 5、珍爱网--恋人 6、知情度—熟人 作案人的职业特征 个体一旦掌握了某知识技能，或者长期从事某种职业，并达到一定熟练程度，就会养成行为习惯，就会在其活动中自觉不自觉的流露出来，客观的留下心理印记，可以为侦查办案人员所利用。 案例：某次，抓捕CCIC逃犯，得知该人在宝安开蓝牌车，有一个手机号，当即打电话租车，诱捕成功 作案人的社会生活习惯 习惯是指多次反复而形成的对于实现某种自动化动作的一种心理反应，是完成动作的需要，也是无意识行为在生活中重复的结果。也就是说习惯一旦养成，就会很顽固的表现出来。 有些人爱打游戏—如CS游戏，谁又扔闪光弹了？ 推断作案后的行为规律 “不义之财来得快，花的也潇洒大方”，一般的抢劫、盗窃尤其表现明显。 招商银行网络盗窃案—坐飞机，泡马子，游山玩水，最后被抓。 犯罪动机种类 证明能力型： 攻击后