电子证据与数字取证技术.pdf

电子证据与数字取证技术

文/□李俊莉

随着计算机及网络技术的高速发展和广泛应用，计算

机网络在金融系统日益普及，电子商务电子政务的应用逐渐的

扩大，利用计算机进行的各种经济犯罪也在日趋增加。计算机

犯罪专家唐·帕克说，将来，计算机犯罪作为一种特定的犯罪

类型可能会不复存在，所有的经济犯罪都将是计算机犯罪，因

为各种工商活动都离不开计算机。

数字证据与数字取证的定义

数字证据是指任何使用计算机存储和传输的数据，用于支

持和反驳犯罪发生的推测，或者用于表述诸如动机、犯罪现场

等的犯罪关键要素。一般情况数字证据与电子证据经常交替使

用。

数字取证主要是对电子证据识别、保存、收集、分析和呈

堂，从而揭示与数字产品相关的犯罪行为或过失。利用计算机

和其他数字产品进行犯罪的证据都以数字形式通过计算机或

网络进行存储和传输，从而出现了电子证据，电子证据的正确

定义是制定电子证据的规则和原则，是电子证据的可采纳性、

证明力、归类及其审查判断的重要依据。电子证据是指以电子

的、数字的、电磁的、光学的或类似性能的相关技术形式保存

记录于计算机、磁性物、光学设备或类似设备及介质中或通过

以上设备生成、发送、接受的能够证明刑事案件情况的一切数

据或信息。

计算机犯罪取证也被称为计算机法医学，是指把计算机看

做犯罪现场，运用先进的辨析技术，对电脑犯罪行为进行法医

式的解剖，搜寻确认罪犯及其犯罪证据，并据此提起诉讼。它

作为计算机领域和法学领域的一门交叉科学，正逐渐成为人们

关注的焦点。

电子证据以文本、图形、图像、动画、音频、视频等多种

信息形式表现出来。证据一经生成，会在计算机系统、网络系

统中留下相关的痕迹或记录并被保存于系统自带日志或第三

方软件形成的日志中，客观真实地记录了案件事实情况。但由

于计算机数字信息存储、传输不连续和离散，容易被截取、监

听、剪接、删除，同时还可能由于计算机系统、网络系统、物

理系统的原因，造成其变化且难有痕迹可寻。刑事电子证据的

特点要求数字取证应遵循电子证据的特点，严格执行证据规

则，客观、真实、合法，利用专门工具、专业人士取证保证，

司法活动合法、高效、公正。

数字证据存在的问题

1.数字证据只是片断或摘要。计算机在工作时产生数据冗

余只是人们操作电脑的一部分，对于鼠标的电击，键盘的敲打

是记录不下来的。所以记录的数字证据只是片断或摘要。

2.容易被改变。所有的证据都要证明它的真实性和惟一

性。而电子数据证据的特殊数据信息形式，需要计算机技术和

原有的操作系统环境才能再现数据形式。此外，从目前数字技

术来说，所有的数字记录都很难说明是否是原存储介质中的资

料，是否进行了修改，在证据中很难鉴别。目前的做法多是从

旁证上同电子证据一起形成证据链，认定犯罪事实。

3.模糊的证据形式。我国《刑事诉讼法》中明确规定七种

形式的证据：物证、书证；证人证言；被害人陈述；犯罪嫌疑

人、被告人供述和辩解；鉴定结论；勘验、检查笔录；视听资

料。对于日益增多的计算机犯罪案件中，只能使具体的情况把

电子证据作为视听资料、物证或者书证使用，以便让电子证据

具有法律根据，在公安、检察、法院三家认定上也有不同的看

法，从而使得在一些案件中即使抓住了犯罪嫌疑人，在移送起

诉阶段由于对证据的采信上的不同认识而导致认定的障碍。

利用数字证据进行调查推理

（一）封存涉案计算机和各种资料

为保证涉案计算机系统中数据证据的原始完整性，应在备

份完成后，封存涉案的计算机及其相关的设备。其中包括各种

打印结果、存储介质、工作日志等。对不能停止运行的计算机

系统，如果要求必须在短时间内恢复运行则应采用镜像备份，

并将系统的状态及环境等进行详细的记录。

（二）收集相关资料进行关联分析

刑事侦查人员和计算机作业技术人员一同收集一切与案

件有关资料，清理现场，提取证据，进行关联分析。

（三）时间性分析

同时创建时间表，排除犯罪嫌疑人和划定重点嫌疑人，各

时间段日志文件的记录事件，刑事侦查人员调查和询问知情

人、犯罪嫌疑人分析时间性信息，并要求犯罪嫌疑人提供计算

机系统相关的所有信息。

（四）对照分析

利用一些支持软件和对备份的数据来分析案件发生前后

系统的状态、日志记录以及数据的情况，提交分析结果。

数字取证技术

目前，计算机取证