杜江电子数据取证与调查技术.pptVIP

七、常用工具介绍 WinHex/X-ray Forensics FinalForensics/EnCase/FTK Sysinternals Suite EasyRecovery/Windows File Analyzer/CacheMonitor Cookies/Cache查看器 其他工具软件 IP定位 口令破解与字典 日志分析与查看 哈希校验工具 After Class… 查阅与电子证据相关的RFC； 搜索资料，了解电子证据的相关特性； 搜索资料，了解证据监管链的相关知识； Any Questions? * CSI、福尔摩斯、巴厘岛爆炸案、911、中国邮件、网络犯罪、塞班斯法案、网购、数字身份证书、 * * 电子数据取证与调查技术A Overview of Computer Forensics Investigations 目 录 概览 基础知识 电子证据 常规处理流程 证据固定 证据提取与分析 常用工具介绍 Why? What? How? 一、概览 取证与调查任务 确定证据 保全证据 提取、处理、分析证据 确保证据得到司法认可 计算机犯罪案例 / / 二、基础知识 了解硬件系统 设备类型 服务器主机 工作站主机 PDA/手机/平板电脑 其他设备： 软盘/CD/DVD/Zip/Jaz/USB盘/SD/MMC/MS,etc 是否连接了未经许可的设备？ Modem Key loggers 其他I/O设备 二、基础知识 了解操作系统 MS Windows Unix BSD/HP-UX/IBM AIX/SCO/Sun Solaris,etc Linux Ubuntu/Mandrake/SuSe/Debian/Slackware/Red Hat/Turbo Linux/红旗Linux,etc Macintosh Mac OS 8/9/X 其他操作系统： DOS/BeOS/Palm OS/OS/2/Android/iOS/WebOS/Bada/Tizen 二、基础知识 了解文件系统 FAT/NTFS文件系统(MS-Win) FAT 12/16/32 NTFS 4/5 HPFS文件系统(OS/2) HFS+文件系统（Mac OS) Unix/Linux文件系统 VFS ext2/ext3/ext4 NFS BeOS：BeFS 二、基础知识 了解系统管理维护工具和日志 了解取证相关的法律条款 三、电子证据 什么是电子（数字）证据？ 任何使用计算机存储或传输的数据，用于支持或反驳犯罪发生方式的推测，或者用于表述诸如动机、犯罪现场的犯罪关键要素。 特征：易篡改、易复制、易毁、多态 证据搜索与查封 证据监管链：司法认可 采集、传输、分析、保存 证据唯一性、不可篡改、可重现（一致性） 三、电子证据 不留痕迹 只读镜像 软件只读锁 硬件只读锁 四、常规处理流程 证据鉴别与确定 物理硬件： 指纹 键盘/鼠标/触摸板/光盘/驱动器/KVM,etc 是否联网？ 硬盘 移动存储 硬拷贝文档 打印机 四、常规处理流程 证据保全 拔掉插头，还是关机？ 为PDA等设备适时供电 证据唯一性、不可篡改、一致性 只读锁 复制证据 四、常规处理流程 证据分析 查找证据 文件查看器 文件类型检查器 文件恢复工具 搜索工具 检验证据 日志文件 证据抽样调查 四、常规处理流程 证据陈述 了解听取证据陈述的对象 原则 说明做了什么 说明为什么做 说明怎么做的 说明发现了什么 提纲 现场勘验 证据收集 证据处理与保管 现场分析 数据分析 结果 五、证据固定 完整的镜像 RFC 3227 “Guidelines for Evidence Collection and Archiving” 寄存器、缓存 路由表、ARP缓存、进程列表、内核状态 内存 临时文件系统 磁盘 相关的远程登录与监视数据 物理配置、网络拓扑图 外接存储器 RFC 3227 五、证据固定 注意事项 不要用原始证据所在的系统进行证据搜索 不要用原始证据所在的系统进行拷贝 准备证据复制盘和工具 五、证据固定 不稳定证据的固定与保全 系统日期和时间 当前网络连接 当前打开的网络端口及对应的程序 当前正在运行的程序列表 五、证据固定 复制硬盘 从手持终端（PDA/手机/平板电脑等）中导出数据 分区镜像 特定文件提取 工具及软件 DD/FinalForensics/X-ways/Encase/FTK 硬盘复制机 六、证据提取与分析 需要找到什么？ 文件目录 C:\Documents and Settings\Username C:\Documents and Settings\Username\Local Settings\History C:\Documents and Settin