31.数字取证-李妤.pptxVIP

数字取证

了解数字取证内容01

信息时代用于打击数字犯罪和网络攻击的技术手段。计算机取证

数字取证技术，是对计算机犯罪的证据进行获取、保存、分析和出示的一个过程。

理解数字取证步骤02

计算机取证的步骤获取证据02鉴定证据03保护现场和现场勘查01进行追踪05提交结果06分析证据04

主要是获取物理证据现场勘查封存目标计算机系统并避免发生任何的数据破坏或病毒感染。绘制计算机犯罪现场图、网络拓扑图等。在移动或拆卸任何设备之前都要拍照存档，为今后模拟和还原犯罪现场提供直接依据。

获取证据使用的工具一般是具有磁盘镜像、数据恢复、解密、网络数据捕获等功能的取证工具。从众多的未知和不确定性中找到确定性的东西

鉴定证据计算机取证的难点：证明取证人员所搜集到的证据没有被修改过。计算机获取证据的特点：具有易改变和易损毁的。解决证据的完整性验证和确定其是否符合可采用标准

分析证据证据分析的内容计算机取证的核心和关键分析计算机的类型、采用的操作系统，是否为多操作系统或有无隐藏的分区；有无可疑外设；有无远程控制、木马程序及当前计算机系统的网络环境。

分析证据计算机取证的核心和关键利用磁盘存储空闲空间的数据分析技术进行数据恢复。获得文件被增、删、改、复制前的痕迹。

进行追踪事件发生后对目标系统的静态分析已经无法满足要求，将计算机取证与入侵检测等网络安全工具和网络体系结构技术相结合，进行动态取证。

进行追踪