第4章 电子证据与取证.ppt

５．分析证据 　　这在计算机犯罪动态取证中不及静态取证那么重要，因为动态取证具有直观性和宏观性，而静态取证具有很强的微观性。 　　如：隐藏文件、文件夹、分区，以及被犯罪嫌疑人删除和伪造的数据。 　　动态取证是实时的，此时的分析只是对该证据与前期证据的连贯性和犯罪嫌疑人的唯一性，即是否属于同一入侵者的非法行为，而非第三人。这样的分析有利于将所有的犯罪嫌疑人都绳之以法。 ６．进行追踪 　　快速追踪在计算机犯罪案件侦察中尤为重要。动态取证过程中根据对数据的分析，确定犯罪嫌疑人的IP地址。并利用IP全球定位系统追踪到行为人所在的物理地址，联合当地警方和因特网信息服务商（Internet Service Provider 简称ISP），可以将犯罪嫌疑人抓捕于现行。 ７．提交结果 　　打印对目标计算机系统的全面分析和追踪结果。然后给出分析结论，将所得的有效证据（发现的文件结构数据、作者的信息、对信息的任何隐藏、删除、保护、加密企图、有效的IP地址，登陆系统的用户名和密码等），并标明提取的时间、地点、计算机、提取人及见证人。然后以证据的形式按照合法的程序提交给司法机关，将犯罪嫌疑人绳之以法。 njzms@126.com * * * * * * * * * * * * * * * * * * * * * * * * * * * 第四章 电子证据与取证 1 2 电子证据的采集 计算机取证据 第一节 电子证据概念特点和采集 电子证据的概念 1 电子证据的特点 2 电子证据的采集 3 近年来，随着计算机应用的普及，涉及计算机的案件也越来越多，并呈现加速趋势。 如何处理这类高智能、高科技犯罪案件，其中证据问题占有着举足轻重的作用，它直接关系刑事诉讼的进行，而电子证据又以其它证据在案件中无法比拟的特殊性、重要性发挥着它的价值。 一、电子证据的概念 电子证据：是以数字化编码形式存储在各类机器内经过技术处理可以再现的各种形态的信息，它们具有证明案件事实情况的能力。 　　如：电子合同、电子信件、数字图像等。 电子证据材料主要包括： 储存在主机、服务器等机器硬盘中的应用程序和数据； 正在运行的计算机系统的工作状态和相关参数； 备份在储介质中的备份程序和历史数据； 打印出的各类程序凭证和数据； 存储在其它相关设备中的电子证据等等 。 按电子证据的表现形式可以分为下面几类： 计算机输入、存储、处理以及输出的信息； 依法进行的计算机模拟得出的结果； 依法对计算机进行测试结果； 数码录音笔、数码相机等各种数字设备中的数字材料。 二、电子证据的特点 1.电子证据具有特殊的物质载体。电子证据必须借助于电子化仪器、设备及特殊功能才能形成，且审查、鉴定电子证据真伪，也要靠专门的电子仪器设备和特定程序才能进行。对电子化物质载体的依赖性是电子证据的一个重要特点。 2.电子证据信息量大，内容丰富。这主要表现为三方面： （1）电子证据具有动态连续性。 （2）电子证据具有高度的直观性和生动形象性。 通过先进的科学技术手段，它可以将与案件有关的图像、声纹、符号、文字、数据和其它信息，甚至案件发生的实际情况，直接再现在司法人员面前。 （3）电子证据的各种科技含量高，巨大的信息量为侦查破案提供了丰富的材料来源。 3.电子证据具有便利、高效性。 电子证据一般容量大、体积小、重量轻及易于保存、传送、运输的特点，且可反复重现。特别是若干年后可重现当时的真实情况，且有长时间的稳定性。当然，电子证据技术要求高，它随科技发展而更新、变化。 4.电子证据还有易篡改加工的脆弱性以及形成过程的时空性，即计算机及网络犯罪过程中，往往利用多台机或在不同时间进行有时间、空间连续性作案，这些特点也为侦查破案取证增加了难度。 三、电子证据的采集 1.采集原则 ① 必须依照法律规定的程序和权限进行； ② 证据采集必须依靠群众； ③ 司法人员证据采集和要求当事人履行举证责任相结合。 证据采集是指在诉讼或非诉讼法律事务中证明的主体（包括侦查、检察、审判人员、当事人及其诉讼代理人）运用法律许可的方法和手段发现、采集、提取证据和固定与案件有关的各种证据材料的活动。 证据采集是一项重要的诉讼活动，是正确处理案件的前提。因此，证据采集必须遵循下列原则和要求： 2.采集基本要求 ① 依照法律的要求证据采集； ② 证据采集必须客观、全面； ③ 证据采集必须依靠群众； ④ 证据采集必须充分运用现代化科学技术； ⑤ 证据采集要抓住本质，分清主次，并要注意保密； ⑥ 证据采集过程要做到高效性。 第二