数字取证报告(分享).docxVIP

封面 修订摘要放在首页（我们可以记录在归档目录里） 日期 修订记录 注释 9/28/2015 1.0 原始草案终稿 11/5/2015 1.1 第10和11页上的更正格式问题 一、基本信息 鉴定机构：Coalfire Systems公司 委托方：捍卫自由联盟的总承包商CGS 委托鉴定事项：对送检原始视频和音频数据文件进行计算机取证分析 鉴定要求： 鉴定评估CGS提交的“原始”视频和音频是否存在被编辑或以其他方式修改过的文件，该视频和音频由医疗进步中心（“本组织”）提供给CGS； 将原始视频和音频与发布到YouTube的某些文件（“完整视频”视频和“补充”视频）进行比对，以判定文件之间的异同。 声明： 对于视频或音频中出现的人物、视频和音频文件的录制者、录制的地点，录制的时间或录制的目的不作任何验证； 对检材被送达Coalfire之前的保管链不予置评； Coalfire的分析对象仅限于从本组织收到的检材，不包括任何与视频或音频参与者的面谈。 二、检验摘要 2015年9月17日，Coalfire收到一份FedEx送来的快递，里面是一个存有多媒体文件的闪存盘。使用行业标准方法和取证工具对其进行检验，闪存盘包含： 总共10个带音频的视频文件，来源于2个单独的设备； 总共8个音频文件，来源于2个只有音频录制功能的设备。 三、鉴定意见 Coalfire对闪存盘上媒体文件的分析表明视频文件是真实的，未检出篡改或编辑过的痕迹。由视频文件的日期和时间戳，视频时间码，以及文件夹和文件命名策略的一致性可以得出该结论。来自两名调查员的摄像机镜头之间的连续性也证明了该视频的真实性。 关于本组织发布的“完整视频”YouTube视频，已对这些视频进行了修改，消除了不相关的镜头，包括：“通勤”、“等待”、“调整录制设备”、“吃饭”、“上洗手间”等缺乏相关对话的镜头。本报告中描述的这些不相关的素材在时间码的变化上与该非相关画面被故意去除的时间跨度一致。 此外，五个由视频录制设备记录的带音频的原始视频还包含由单独的仅音频录制功能设备记录的原始音频记录。原始音频文件与其相关联的原始视频文件录制的时长一致。这些原始音频文件证实了原始视频文件的完整性和真实性，因为它们作为两个独立的录制设备捕获并描绘了在相同持续时间内的相同事件。 四、检验过程 1.检材的接收与处理 Coalfire在接收、检验和分析过程中采用了行业标准方法和取证工具。密封的信封通过联邦快递的次晨达于2015年9月17日，上午8:35【（美国）山地标准时间MST -7:00】抵达了Coalfire实验室。打开包装后建立了一个检材保管链。包装包含一个USB闪存盘密封在FedEx标签袋中。该存储介质的详细信息如下： 设备品牌/型号 设备序列号 描述 设备序列号 容量 PNY“Turbo Plus”闪存盘 2CE00713QB USB闪存盘（银色） USB 3.0 UID：1C233FA33C1C2A38 128 GB Coalfire使用Logicube Falcon在之前擦除过的硬盘上创建了该USB闪存盘的DD镜像并校验了二者的HASH值。在该擦除过的硬盘上创建一个该DD镜像的副本。所有的后续分析均在此镜像副本上进行，而不是在原始介质或该介质的原始镜像上。使用专用取证工作站对该镜像副本进行分析，专业工具列示如下： AccessData的取证工具包（FTK），版本6； VLC播放器，版本2.2.1； Apple QuickTime，版本7.7.8； iZotope RX专业版（音频比对修复工具）。 2.分析说明 2.1文件和文件夹分析 USB闪存盘上共有29个文件夹。每个文件夹的修改，访问和创建日期均为2015-09-13 UTC，最后一次修改时间和创建时间分别在2015-09-13 03:36:03 UTC和2015-09-13 04:57:35 UTC之间。将文件夹从源盘复制到目标盘会导致在目标盘上形成新的创建时间和修改时间。源盘目录中的日期和时间戳不会继承到目标盘上创建的目录中。这表明USB闪存盘中文件的日期和时间戳可以证明文件夹是何时从原始源盘复制到USB闪存盘的。 根目录包括5个目录，下面列出了它们的创建时间和日期戳： 目录名称 创建时间 [root] \ 052215 Dyer dinner 2015-09-13 03:36:47 UTC [root] \ 072514DebNucatola 2015-09-13 03:36:03 UTC [root] \ PPGC040915 2015-09-13 03:36:32 UTC [root] \ PPPSGV020615 2015-09-13 03:36:15 UTC [root] \ PPRM040715 2015-09-13 03:36:26