搜索

[14543] 2019-09-03_浅谈电子数字取证技术

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-09-03_浅谈电子数字取证技术 浅 谈 电 子 数 字 取 证 技 术 Q f t m e r   F r e e B u f   2 0 1 9 - 0 9 - 0 3 0 x 0 0   前 言 前 言 近 几 年 来 ， 电 子 数 字 取 证 技 术 在 网 络 攻 击 窃 密 、 反 欺 诈 调 查 、 内 部 审 计 、 失 泄 密 痕 迹 发 现 、 恶 意 网 站 查 处 等 案 近 几 年 来 ， 电 子 数 字 取 证 技 术 在 网 络 攻 击 窃 密 、 反 欺 诈 调 查 、 内 部 审 计 、 失 泄 密 痕 迹 发 现 、 恶 意 网 站 查 处 等 案 件 中 发 挥 着 举 足 轻 重 的 作 用 。 件 中 发 挥 着 举 足 轻 重 的 作 用 。 随 着 计 算 机 犯 罪 及 网 络 失 泄 密 案 件 的 频 繁 发 生 ， 电 子 数 字 证 据 作 为 一 种 新 的 证 据 随 着 计 算 机 犯 罪 及 网 络 失 泄 密 案 件 的 频 繁 发 生 ， 电 子 数 字 证 据 作 为 一 种 新 的 证 据 形 式 势 必 越 来 越 多 的 出 现 在 司 法 活 动 中 。 形 式 势 必 越 来 越 多 的 出 现 在 司 法 活 动 中 。 0 x 0 1   取 证 概 述 取 证 概 述 韦 氏 大 学 词 典 （ 韦 氏 大 学 词 典 （ D i c t i o n a r y   b y   M e r r i a m - W e b s t e r ） ） 取 证 （ F o r e n s i c ） 是 科 学 知 识 在 法 律 问 题 中 的 应 用 ， 或 ， 对 物 证 的 科 学 分 析 。 取 证 属 于 、 用 于 或 适 用 于 法 院 法 庭 或 公 开 讨 论 和 辩 论 。 美 国 司 法 学 会 （ 美 国 司 法 学 会 （ N a t i o n a l   I n s t i t u t e   o f   J u s t i c e ,   N I J ） ） 定 义 电 子 数 据 是 以 二 进 制 形 式 存 储 或 传 输 的 信 息 ， 可 以 在 法 庭 上 被 依 赖 ， 可 以 在 电 脑 硬 盘 、 移 动 电 话 、 个 人 数 字 助 手 、 数 码 相 机 中 的 闪 存 卡 等 中 找 到 。 电 子 数 据 证 据 可 用 于 起 诉 所 有 类 型 的 犯 罪 ， 而 不 仅 仅 是 电 子 犯 罪 。 取 证 科 学 （ 取 证 科 学 （ F o r e n s i c   S c i e n c e ） ） 取 证 科 学 是 把 物 理 学 、 化 学 、 生 物 学 、 计 算 机 科 学 和 工 程 学 等 科 学 应 用 于 法 律 问 题 上 的 科 学 。 取 证 科 学 通 过 物 证 分 析 提 供 科 学 依 据 ， 在 刑 事 司 法 系 统 中 发 挥 着 至 关 重 要 的 作 用 。 在 调 查 过 程 中 ， 在 犯 罪 现 场 或 从 某 一 人 收 集 证 据 ， 在 犯 罪 实 验 室 进 行 分 析 ， 然 后 在 法 庭 上 提 交 结 果 （ N I J ） 。 电 子 取 证 （ 电 子 取 证 （ D i g i t a l   F o r e n s i c ） 定 义 ） 定 义 使 用 科 学 的 可 验 证 的 方 法 对 电 子 证 据 进 行 识 别 、 保 存 、 检 查 和 分 析 的 过 程 ， 并 且 最 终 这 些 证 据 是 可 以 作 为 呈 堂 证 供 的 （ J a s o n   J o r d a a n ， D F I R L A B S ） 。 传 统 的 电 子 数 字 取 证 最 简 单 的 解 释 是 检 查 电 子 设 备 和 计 算 机 中 存 储 的 数 据 及 其 环 境 来 确 定 发 生 了 什 么 （ J o a k i m K a v r e s t a d ， 瑞 典 舍 伍 德 大 学 ） 。 0 x 0 2   国 内 外 取 证 概 况 国 内 外 取 证 概 况 国 外 动 态 国 外 动 态 1 、 始 于 8 0 年 代 2 、 2 0 世 纪 9 0 年 代 创 立 “ 国 际 计 算 机 证 据 组 织 ” 3 、 已 建 立 有 较 完 善 的 法 律 原 则 和 电 子 取 证 规 范 ， 但 没 有 统 一 可 靠 的 标 准 4 、 取 证 过 程 模 型 ： 基 本 过 程 模 型 （ B P M ） 、 事 件 响 应 过 程 模 型 （ I R P M ） 、   法 律 执 行 过 程 模 型 （ L E P M ） 、 过 程 抽 象 模 型 （ A P M ） 5 、 英 国 《 电 子 证 据 取 证 的 最 佳 实 践 指 南 》 （ 1 9 9 9 年 ）
6 、 美 国 犯 罪 实 验 室 主 任 协 会 / 试 验 鉴 定 委 员 会 编 制 的 取 证 标 准 和 准 则 （ 2 0 0 3 年 ） 7 、 欧 洲 法 学 研 究 所 （ E N F S I ） 出 版 一 系 列 取 证 指 南 （ 2 0 0 8 - 2 0 1 1 年 ） 8 、 取 证 工 具 ： E n c a s e （ G U I D A N C E ） 、 D I B S （ 美 国 计 算 机 取 证 与 司 法 鉴 定 公 司 ） 、 F l i g h t S e r v e r （ V o g o n ） 等 国 内 动 态 国 内 动 态 1 、 电 子 取 证 专 家 委 员 会 （ 2 0 0 5 年 ） 2 、 计 算 机 取 证 与 司 法 鉴 定 技 术 峰 会 和 高 峰 论 坛 （ C C F A ， 2 0 0 5 ） 3 、 已 建 立 电 子 取 证 规 范 4 、 国 家 标 准 G B / T   2 9 3 6 0 - 2 0 1 2   《 电 子 物 证 数 据 恢 复 检 验 规 程 》 G B / T   2 9 3 6 1 - 2 0 1 2   《 电 子 物 证 文 件 一 致 性 检 验 规 程 》 G B / T 2 9 3 6 2 - 2 0 1 2   《 电 子 物 证 数 据 搜 索 检 验 规 程 》 5 、 公 安 部 G A / T   7 5 4 - 2 0 0 8   《 电 子 数 据 存 储 介 质 复 制 工 具 要 求 及 检 测 方 法 》 G A / T   7 5 5 - 2 0 0 8   《 电 子 数 据 存 储 介 质 写 保 护 设 备 要 求 及 检 测 方 法 》 G A / T   7 5 6 - 2 0 0 8   《 数 字 化 设 备 证 据 数 据 发 现 提 取 固 定 方 法 》 … … 6 、 司 法 部 S F / Z J D 0 4 0 0 0 0 1 — 2 0 1 4 《 电 子 数 据 司 法 鉴 定 通 用 实 施 规 范 》 S F / Z J D 0 4 O l O O l 一 2 0 1 4 ( ( 电 子 数 据 复 制 设 备 鉴 定 实 施 规 范 》 … … 司 法 鉴 定 设 备 配 置 标 准 司 法 鉴 定 设 备 配 置 标 准
国 内 现 状 国 内 现 状 1 、 计 算 机 取 证 与 司 法 鉴 定 方 面 研 究 和 实 践 刚 起 步 2 、 工 具 多 是 利 用 国 外 常 用 取 证 工 具 3 、 缺 乏 对 取 证 和 鉴 定 流 程 的 深 入 研 究 4 、 证 据 收 集 、 文 档 化 和 保 存 不 完 善 5 、 数 字 证 据 分 析 和 解 释 不 足 6 、 缺 少 取 证 和 司 法 鉴 定 工 具 的 评 价 标 准 7 、 欠 缺 取 证 和 司 法 鉴 定 操 作 规 范 0 x 0 3   取 证 技 术 发 展 趋 势 取 证 技 术 发 展 趋 势 主 机 电 子 证 据 保 全 、 恢 复 和 分 析 技 术 主 机 电 子 证 据 保 全 、 恢 复 和 分 析 技 术 针 对 一 台 可 能 含 有 证 据 的 非 在 线 计 算 机 进 行 证 据 获 取 的 技 术 ， 包 括 ： 存 储 设 备 的 恢 复 技 术 隐 藏 数 据 的 再 现 技 术 加 密 数 据 的 解 密 技 术 数 据 挖 掘 技 术 … … 网 络 数 据 捕 获 与 分 析 、 网 络 追 踪 网 络 数 据 捕 获 与 分 析 、 网 络 追 踪 网 络 追 踪 可 分 为 四 类 ：
基 于 主 机 基 于 网 络 被 动 式 追 踪 主 动 式 网 络 信 息 数 据 流 捕 获 工 具 有 ： N e t X r a y S n i f f e r P r o L a n e x p l o r e 主 动 取 证 主 动 取 证 主 动 取 证 主 要 指 通 过 诱 骗 或 攻 击 性 手 段 获 取 罪 犯 证 据 ， 蜜 罐 技 术 是 主 要 研 究 的 方 向 ， 美 国 已 成 熟 的 网 络 诱 骗 系 统 包 括 ： B a c k O f f i c e r   F r i e n d l y 、 S p e c t e r 、 M a n t r a p 、 D T K 等 。 诱 骗 系 统 要 求 保 证 入 侵 者 在 进 入 系 统 后 ， 不 能 利 用 诱 骗 主 机 对 内 网 其 他 主 机 构 成 威 胁 ， 但 能 监 控 入 侵 者 在 系 统 中 一 举 一 动 ， 而 且 系 统 和 日 志 必 须 要 能 伪 装 不 能 被 发 现 。 密 码 分 析 和 破 解 密 码 分 析 和 破 解 目 前 密 码 加 密 技 术 的 方 向 向 量 子 密 码 、 生 物 密 码 等 新 一 代 密 码 加 密 技 术 发 展 ， 因 此 密 码 分 析 技 术 也 会 随 之 进 入 一 个 新 的 领 域 。 各 类 系 统 各 类 机 密 信 息 很 大 部 分 经 过 加 密 处 理 ， 因 而 密 码 分 析 和 破 解 成 电 子 取 证 中 必 须 面 对 的 问 题 。 0 x 0 4   取 证 流 程 取 证 流 程 不 同 国 家 不 同 国 家 1 、 《 电 子 证 据 取 证 最 佳 实 践 指 南 》 （ 英 国 ） 、 《 电 子 证 据 取 证 最 佳 实 践 指 南 》 （ 英 国 ） 证 据 是 从 任 何 类 型 的 电 子 数 字 存 储 中 收 集 到 的 数 据 收 集   - >   分 析   - >   报 告 2 、 美 国 司 法 部 （ 、 美 国 司 法 部 （ D O J ） ） 证 据 是 硬 盘 驱 动 器 或 手 机 或 其 他 数 字 信 息 载 体 收 集   - >   检 验   - >   分 析   - >   报 告 收 集 收 集 现 场 证 据 ： 电 子 数 字 媒 介 、 终 端 设 备 线 上 证 据 ： 网 络 公 开 的 （ 社 交 媒 体 帖 子 ） 、 私 人 的 （ 社 交 媒 体 账 号 信 息 ） 、 易 失 性 数 据 （ 进 程 、 网 络 连 接 和 开 放 端 口 等 ） 须 由 调 查 人 员 做 备 份 ， 不 能 对 其 内 容 进 行 删 改 分 析 分 析
需 要 做 存 储 镜 像 ， 在 副 本 进 行 非 破 坏 性 分 析 能 够 对 证 据 的 取 得 作 出 复 现 尽 可 能 将 被 嫌 疑 人 删 除 、 修 改 或 隐 藏 的 数 据 恢 复 报 告 报 告 取 证 的 最 终 成 果 体 现 整 个 取 证 检 查 过 程 和 数 据 恢 复 的 过 程 （ 时 间 、 地 点 、 人 员 、 方 法 以 及 理 由 等 ） 易 懂 通 俗 （ 司 法 人 员 等 非 I T 行 业 人 员 能 明 白 ） 数 据 （ 证 据 ） 采 集 数 据 （ 证 据 ） 采 集 1 、 静 态 采 集 （ S t a t i c ） 当 主 机 是 关 闭 的 低 效 率 无 法 取 得 易 失 性 数 据 2 、 动 态 采 集 （ L i v e ） 当 主 机 是 运 行 中 的 数 据 可 能 采 集 的 同 时 被 修 改 从 不 可 信 的 网 络 获 得 的 数 据 是 不 可 靠 的 0 x 0 5   熊 猫 烧 香 案 例 熊 猫 烧 香 案 例 背 景 背 景 2 0 0 6 年 底 - 2 0 0 7 年 初 ， 不 断 入 侵 P C 、 门 户 网 站 ， 给 个 人 用 户 、 企 业 局 域 网 和 网 吧 带 来 巨 大 损 失 。 《 2 0 0 6 年 度 中 国 大 陆 地 区 计 算 机 病 毒 疫 情 和 互 联 网 安 全 报 告 》 评 为 “ 毒 王 ” 。 熊 猫 烧 香 病 毒 介 绍 熊 猫 烧 香 病 毒 介 绍 名 称 ： 熊 猫 烧 香 ， w o r m . w h B o y ， w o r m . n i m a y a 类 型 ： 蠕 虫 ， 能 够 终 止 大 量 的 反 病 毒 软 件 和 防 火 墙 软 件 进 程 描 述 ： 蠕 虫 病 毒 ， 多 次 变 种 ， 可 执 行 文 件 出 现 “ 熊 猫 烧 香 ” 图 案 危 害 ： 通 过 局 域 网 在 极 短 时 间 内 感 染 数 千 台 计 算 机 ， 中 毒 后 可 能 蓝 屏 、 频 繁 重 启 以 及 数 据 文 件 被 破 坏 等 。 无 法 使 用 G h o s t 恢 复 。 鉴 定 要 求 鉴 定 要 求 1 、 鉴 定 检 材 中 是 否 存 在 制 作 传 播 病 毒 的 证 据 2 、 鉴 定 病 毒 编 写 的 相 关 事 件 信 息 及 病 毒 制 作 方 式 鉴 定 环 境 鉴 定 环 境 硬 件 ： 取 证 计 算 机 （ D e l l - D I M E N S I O N 5 1 5 0 ） 、 高 速 硬 盘 复 制 机 、 四 合 一 只 读 读 卡 器 、 取 证 硬 盘 、 各 类 接 口 转 化 卡 、
数 据 线 、 移 动 硬 盘 、 U 盘 软 件 ： W i n   S v r   2 0 0 3   E t p r s   E d . 、 E n C a s e 、 U l t r a E d i t - 3 2 鉴 定 过 程 鉴 定 过 程 1 、 存 储 介 质 正 常 工 作 ， 可 读 2 、 “ 移 动 硬 盘 ” 分 区 1 中 找 到 D e l p h i 7 和 V m w a r e ， 构 成 进 行 木 马 病 毒 实 验 的 基 本 环 境 ， I C O 用 于 更 改 程 序 图 表 3 、 分 区 1 、 2 的 收 藏 夹 （ F a v r i t e s ） 发 现 大 量 黑 客 、 木 马 、 病 毒 技 术 相 关 网 站 4 、 分 区 5 （ t o o l s ） m y h a c k e r 目 录 下 找 到 灰 鸽 子 、 n c 、 S n i f f e r 、 D D o S . E X E 、 黑 客 之 门 、 网 络 神 偷 、 W e b 3 3 8 9 . e x e 等 大 量 黑 客 工 具 软 件 及 说 明 书 、 录 像 等 资 料 。 历 史 日 志 发 现 嫌 疑 人 多 次 访 问 这 些 数 据 。 5 、 在 分 区 5 （ t o o l s ） 和 桌 面 等 目 录 下 发 现 可 执 行 木 马 程 序 , S o u r c e   C o d e D e l p h M y _ W o r k 目 录 下 ， 发 现 “ 武 汉 男 生 ” 的 客 户 端 和 服 务 端 程 序 ，   S o u r c e   C o d e D e l p h M y _ W o r k 武 汉 男 生 进 程 监 控 c o d e 下 发 现 病 毒 源 代 码 , 同 时 有 病 毒 说 明 文 件 。 S o u r c e   C o d e D e l p h M y _ W o r k 传 染   目 录 下 发 现 多 个 版 本 的 源 文 件 。 6 、 在 分 区 2 号 码 为 3 5 5 5 1 的 O I C Q 文 件 夹 中 ， 找 到 嫌 疑 人 使 用 木 马 进 行 黑 客 活 动 的 截 图
7 、 在 “ x x x 的 文 档 ” 中 发 现 大 量 I P 地 址 、 计 算 机 名 以 及 网 络 游 戏 （ 如 征 途 、 冒 险 岛 ） 账 密 。 结 合 在 S o u r c e C o d e D e l p h i M y _ W o r k d 传 染   目 录 下 “ r e a d m e . t x t ” 文 件 ， 可 认 为 嫌 疑 人 最 终 目 的 是 通 过 出 售 木 马 程 序 和 所 盗 取 的 信 息 获 得 经 济 利 益 在 “ M y H a c k e r 常 看 文 章 账 单 ” 目 录 下 ， 发 现 2 0 0 5 年 1 月 - 2 0 0 6 年 7 月 的 账 目 信 息 ， 合 计 约 4 0 余 万 元 鉴 定 结 论 鉴 定 结 论 1 、 制 作 和 传 播 木 马 病 毒 的 实 验 环 境 2 、 编 写 病 毒 的 软 件 工 具 3 、 多 个 病 毒 的 源 代 码 及 可 执 行 文 件 4 、 通 过 木 马 直 接 或 间 接 获 得 的 游 戏 账 密 等 信 息 5 、 所 出 售 木 马 病 毒 代 码 和 木 马 生 成 器 的 价 格 6 、 收 藏 的 相 关 技 术 资 料 的 网 址 和 多 次 访 问 病 毒 源 码 留 下 的 历 史 记 录 7 、 病 毒 制 作 时 间 在 2 0 0 6 年 1 0 月 2 6 日 或 更 早 ， 之 后 多 次 对 其 进 行 修 改 和 升 级
法 律 依 据 法 律 依 据 刑 法 第 二 百 八 十 六 条 　 违 反 国 家 规 定 ， 对 计 算 机 信 息 系 统 功 能 进 行 删 除 、 修 改 、 增 加 、 干 扰 ， 造 成 计 算 机 信 息 系 统 不 能 正 常 运 行 ， 后 果 严 重 的 ， 处 五 年 以 下 有 期 徒 刑 或 者 拘 役 ； 后 果 特 别 严 重 的 ， 处 五 年 以 上 有 期 徒 刑 。 违 反 国 家 规 定 ， 对 计 算 机 信 息 系 统 中 存 储 、 处 理 或 者 传 输 的 数 据 和 应 用 程 序 进 行 删 除 、 修 改 、 增 加 的 操 作 ， 后 果 严 重 的 ， 依 照 前 款 的 规 定 处 罚 。 故 意 制 作 、 传 播 计 算 机 病 毒 等 破 坏 性 程 序 ， 影 响 计 算 机 系 统 正 常 运 行 ， 后 果 严 重 的 ， 依 照 第 一 款 的 规 定 处 罚 。 总 结 展 望 总 结 展 望 1 、 “ 熊 猫 烧 香 ” 案 为 以 后 的 计 算 机 网 络 案 件 处 理 提 供 了 借 鉴 。 2 、 案 件 中 出 现 的 计 算 机 技 术 给 计 算 机 科 学 界 和 司 法 部 门 提 出 了 新 的 挑 战 ， 促 使 相 关 法 律 的 完 善 以 及 司 法 鉴 定 技 术 的 进 一 步 成 熟 。 参 考 文 献 参 考 文 献 国 内 外 电 子 数 据 取 证 标 准 规 范 研 究 （ h t t p : / / w w w . g j b m j . g o v . c n / n 1 / 2 0 1 7 / 0 3 1 6 / c 4 1 1 1 4 5 - 2 9 1 4 9 4 2 7 . h t m l ） 熊 猫 烧 香 案 件 的 电 子 数 据 司 法 鉴 定 理 论 与 实 践 （ h t t p : / / w w w . d o c 8 8 . c o m / p - 0 4 1 6 8 2 2 1 1 6 2 8 . h t m l ） * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： Q f t m e r ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理