反贪系统电子数据取证培训幻灯片.pptx

2013年5月电子取证专题培训2013年5月电子证据的特点Index.dat电子证据的特点Index.dat某甲某乙（局长）短信：××局×××吧，有个关于你我非常重要的事，请尽快回复信息。短信：你是谁？短信：准备好了吧，明天之前把款汇入×××账号。要不就等待后果！短信：我们谈谈短信：不用谈，直接汇款过来！否则，你也将失去所有金钱、职位、名誉等等一切！明天晚上前给我答复。本案涉及的证据在哪里？手机短信物证？书证？视听资料？嫌疑人供述？被害人陈述？能否单独定罪？某丙某丁（院长）短信：××局，钱已汇入工行卡***0765，那件事情拜托了！短信：嗯短信：回头我专门登门道谢。短信：客气本案涉及的证据在哪里？手机短信银行转账记录物证？书证？视听资料？嫌疑人供述？被害人陈述？第一部分 电子数据证据的概念电子证据的概念电子证据的形式：电子邮件电子文档网络记录（blog、BBS、cookie、IP）手机短信影音资料数据库即时通信时间属性电子证据的概念电子证据的形式：电子签名电信记录设备状态网络路由表电视播放记录电子证据的概念.doc.xls.wps.tsb.txt.mpg.dat.db，如msg2.0.db.docx.csv.pptx.sys.dll.ini.sql.lib.exe.ocx.lst，用友财务.dem，电子地图Index.Temp~.pagefile电子证据的概念存在删除存在恢复电子证据的概念电子文档书证音视频文件视听资料电子证据的概念电子证据检验鉴定结论检验鉴定机构检验鉴定人员检验鉴定方法第二部分 电子数据证据的特点电子证据的特点 客观性电子信息技术黑箱子电子证据的特点 可变性1.doc电子证据的特点 通过运用科技手段，对电子证据进行表现、开示，具有多种表现形式，可以说它涵盖了几乎所有的传统证据类型。多样性电子证据的特点 两个方面：1、安全的复制 哈希值2、数据恢复再生性第三部分 电子数据取证 的实践原则第一个原则：及时性有无多少第一个原则：及时性4.9办案人员去案发单位落实相关问题，确定编辑合同文本的一台电脑 确定以后，原地保存，要求其不要乱动。4.11 带领技术人员去取证4.12 对电脑进行检验，GHOST！GHOST第二个原则：针对性1、是否涉案嫌疑人或者相关人的载体？2、时间上是否能够对应？3、准确划定电子数据取证的范围？第三个原则：全面性1、电脑？手机？一般电子终端？尽量都包括2、嫌疑人本人？其它相关人？相关系统介质？电话记录邮件记录网络聊天记录社会实践记录新浪网易雅虎电信联通移动微信QQ等举报线索登记情报信息库第四个原则：安全性1、保障物品（载体）的数据安全性，操作和相关记录2、线索和证据的安全性，操作和相关记录3、保障自身安全性，相关记录等保管运输操作第五个原则：辅助性1、电子数据反映线索、现实调查2、电子数据刻画心理，辅助调查偶尔发现的SIM卡，找到其多个情妇。（线索和突破口）……提取其中的短信和通话记录……根据短信内容，判定其关系……查询对方号码，确定对方姓名等……查询对方号码的通信记录，获知情妇的各类信息卡号事件描述1现场如何处理个人电脑？案情：天津法官刘某涉嫌受贿，但口供难以突破，各方面的进展缓慢。1现场如何处理个人电脑？发现结果： 嫌疑人有用电脑写日记的习惯。于是继续对文档类型的数据进行检索，并对删除过的文件进行有条件的恢复。找到了三份日记备忘录。案例一：法官刘某受贿案 引导和验证侦查思路第四部分 现场调取各种类型电子数据的 方法、步骤、注意事项1现场如何处理个人电脑？1. 现场能否打开电脑？2. 打开电脑，应避免那些操作？3. 如何使用单兵设备，现场快速获取电子数据？1现场如何处理个人电脑？扣押个人电脑应考虑的注意事项1. 扣押主机还是扣押硬盘？密封袋？2. 关机扣押，需不需要封条？密封袋？3. 填写扣押清单4. 扣押清单5. 交由赃证物室6. 交由技术人员进行检验分析，或者采用安全的方式查看1现场如何处理个人电脑？采用克隆硬盘的方式：克隆的基本操作，建议由技术人员负责实施。但在单兵设备允许的情况下，可以由侦查人员实施。参考录像?1现场如何处理个人电脑？确认物品所有者1现场如何处理个人电脑？拆机取出硬盘并进行复制。1现场如何处理个人电脑？连接复制设备和硬盘（1）1现场如何处理个人电脑？连接复制设备和硬盘（2）1现场如何处理个人电脑？硬盘现场复制情况1现场如何处理个人电脑？屏幕录像1现场如何处理个人电脑？物品入袋封装签字1现场如何处理个人电脑？采用快速获取数据的单兵设备：开机——执行程序——简单设定——扫描拷贝——关机。1现场如何处理个人电脑？其他应注意的事项：关注周边的各类纸条、记录、粘条，等关注周边的小型存储设备不要上网、登陆、执行专有程序、删