掃一掃
關注中圖網
官方微博
本類五星書更多>
-
>
法律的悖論(簽章版)
-
>
中華人民共和國憲法
-
>
中華人民共和國勞動法
-
>
私人財富保護、傳承與工具
-
>
再審洞穴奇案
-
>
法醫追兇:破譯犯罪現場的156個冷知識
-
>
法醫追兇:偵破罪案的214個冷知識
計算機取證 版權信息
- ISBN：9787040247497
- 條形碼：9787040247497 ; 978-7-04-024749-7
- 裝幀：暫無
- 冊數：暫無
- 重量：暫無
- 所屬分類：>>
計算機取證 本書特色
計算機取證是一個涉及法學、刑事偵查學、計算機
科學等學科的交叉學科，在進行計算機取證的相關司法
實踐過程中，也常常需要對相關問題從相關法律、偵查
方法、取證規范、取證技術等多個角度進行思考。本書
介紹計算機取證的相關研究與司法實踐方法，內容涵蓋
計算機犯罪、電子證據和計算機取證的基本概念、基本
原理和方法，主要內容包括計算機取證程序、計算機取
證技術、計算機取證工具、計算機取證法律和規范、對
典型對象的調查取證和計算機取證實驗等。
計算機取證 節選
計算機取證(computer Forensics)的任務是解決各種計算機犯罪案件以及傳統
的刑事案件、民事案件、行政案件涉及的計算機及相關系統、設備的取證問題。隨
著計算機及網絡普及程度的不斷提高，各種利用計算機工具從事的犯罪活動以及
涉及計算機取證的各種其他刑事犯罪、民事案件、行政案件越來越多，計算機取證
司法實踐需求十分迫切，該領域的研究與實踐受到越來越廣泛的關注。目前，國內
許多法律部門，特別是公安機關都擁有了自己的計算機取證實驗室，同時還成立了
電子證據檢定機構，從事相關數字證據的司法鑒定。為適應計算機取證司法實踐
的需要，國內許多院校和研究機構開展了計算機取證的研究，許多院校的計算機安
全專業開設了計算機取證研究生課程，為了適應信息安全的研究和教學需要，我們
編寫了本書。
計算機取證是一個涉及法學、刑事偵查學和計算機科學等學科的交叉學科，在
進行計算機取證的相關司法實踐的過程中，也常常需要對相關問題從相關法律、偵
查方法、取證規范、取證技術等多個角度進行思考。為了幫助讀者對計算機取證的
相關研究與司法實踐方法有一個全面的了解，本書從計算機犯罪、數字證據、計算
機取證概念的界定及涉及的相關法律法規、計算機取證程序、計算機取證技術以及
計算機取證工具和取證實踐等多個角度，對于計算機取證相關領域的研究進展和
較為常用的取證實踐方法進行了較為全面的介紹。相關內容包括：
第l章計算機犯罪與數字證據，從刑法學表述、犯罪學表述以及相關學術研究
等多個方面對計算機犯罪概念進行了分析，結合相關學術觀點對計算機犯罪概念
進行了界定，并對計算機犯罪的特定和發展趨勢進行了分析；從立法角度和學術研
究角度對數字證據的概念進行了界定，并從法律視角對數字證據來源及收集、數字
證據保全及效力、數字證據認定及出示等計算機取證相關環節進行了分析。
第2章計算機取證概述，對計算機取證研究的發展歷程、計算機取證概念、計
算機取證的研究內容和發展趨勢進行了概要介紹。
第3章計算機取證程序，重點介紹了國內外計算機取證程序、計算機取證原
則、計算機取證步驟的相關研究。
第4章計算機取證技術，詳細介紹了計算機取證中涉及的相關技術，并對計算
機取證過程中所涉及的常用技術進行了深入分析。
第5章計算機取證工具、第6章典型對象的調查對取證實踐中涉及的取證工
具和取證方法進行了詳細介紹，并在第7章計算機取證試驗針對計算機取證過程
中遇到的一些常見問題設計了取證實驗。
本書適合作為信息安全和相關專業研究生的教學參考書，也可作為信息安全、
計算機取證、電子證據司法鑒定等領域研究人員、技術人員和管理人員的參考書。
本書由中國人民公安大學楊永川和顧益軍張培晶編寫，董健、郝文江、楊莉莉、
張羽參與了本書的編寫工作。
由于編者水平有限，書中難免存在錯誤、疏漏和欠妥之處，敬請讀者批評指正。
作者
2008 4 12
第4章 計算機取證技術
計算機取證技術是指在對計算機和相關外圍設備中(包括網絡介質)潛在的
數字證據進行收集、分析過程以及對獲取的證據進行呈堂的過程中所涉及的各項
技術。本章結合計算機取證過程對計算機取證技術的研究范圍以及各項技術所面
對的主要任務進行了介紹，并著重對計算機取證過程中涉及的常用技術進行了
分析。
4．1 計算機取證技術的研究范圍
計算機取證技術的任務是滿足計算機取證各個階段的技術需求，其研究內容
包括可以用于計算機取證的各項技術和方法。
4．1．1計算機證據收集技術56
計算機證據收集技術是與計算機取證中確認現場、確定調查方式、保護現場、
記錄現場、處理現場相關的一些技術。其主要目標是盡可能多地在現場勘察階段
獲取與案件相關的數字證據并盡可能地保證這些證據不被損害。計算機證據收集
技術所使用的技術手段主要有動態系統證據收集技術、證據復制、網絡環境證據收
集技術三類。結合不同辦案階段對取證手段的公開性要求，又可以分為隱秘取證
和公開取證。
1．動態系統證據收集技術
動態系統證據收集主要是收集在操作狀態下在存儲媒體中存放的信息和數
據。這些信息和數據通常是易于改變的或在關機過程中容易丟失的數據。IETF
(Internet Engineering Task Force，Internet工程任務組)整理的關于計算機證據收集
與歸檔的標準文檔RFC 3227中，對各類信息和數據的易失性做了如下排序：
①寄存器(Registers)和緩存(Cache)中的數據和信息。
②路由表(Routing Table)、ARP緩存、進程表(Process Pable)、內核統計
(Kernel Statistics)、內存中的數據和信息。
③系統的臨時性文件(Temporary File Systems)中的數據和信息。
④磁盤中的數據和信息。
⑤物理配置(Physical Configuration)和網絡拓撲(Network Topology)。
⑥歸檔媒體(Archival Media)。
在上述各類數據和信息中，①、②類數據和信息易失性*強，其在系統關機后
無法恢復，因而①、②類數據和信息只能夠采用動態系統證據收集技術進行證據收
集。系統的臨時性文件通常是指操作系統和應用系統使用磁盤作為緩存所產生的
臨時文件以及操作系統和應用系統的一些日志文件。臨時文件通常會隨著系統的
運行而發生改變，但當系統關閉時大部分臨時文件或I臨時文件的文件碎片還會存
留在磁盤當中，因此對于臨時文件的證據獲取既可以采用動態系統證據收集技術，
也可以在證據分析階段通過證據提取技術獲取相關計算機證據。磁盤中的數據和
信息通常采用復制技術進行證據獲取，但在一些特定的取證過程中，如在偵查階
段，為了不被偵查對象察覺，有時也會采用動態系統證據收集技術進行證據收集。
動態系統證據收集技術根據使用對象的不同可以分為兩類：一類是秘密監控，
主要用于調查偵查階段檢查或監控目標用戶和程序的活動情況，分析目標系統已
存在的信息；另一類是公開獲取，即通過公開手段獲取目標系統的系統狀態和當前
正在運行的程序信息，主要用于公開的計算機證據獲取或針對計算機攻擊的監控
和證據獲取。
(1)動態系統的隱秘監控
動態系統的隱秘監控是在計算機或網絡上檢查和監控被調查對象當前的行為
或獲取與案件相關的各種數據和信息，獲取的內容主要包括：
①屏幕快照。
②服務和應用程序的運行情況。
③鍵盤和鼠標的擊鍵信息。
④網絡數據包。
⑤操作系統的相關用戶名和密碼。
⑥本地應用程序的用戶名和密碼。
⑦遠程應用程序的用戶名、密碼和加密密鑰。
⑧內存中的相關信息。
⑨存儲器中相關的數據文件。
⑩存儲器中相關的臨時文件。
⑧系統日志。
⑩即時通訊信息。
目前常用的動態系統隱秘監控方法主要有以下三種：
①使用物理記錄設備監控當前鍵盤活動情況：物理記錄設備通常安裝在鍵盤
和計算機之間來記錄鍵盤的鍵入信息。其附件主要有適配器、鍵盤電纜延長線、鍵
盤替代品、改裝鍵盤等，適配器通常安裝在計算機系統的接口上。
②使用系統管理工具獲取相關信息：利用常用的計算機管理工具．例如
Windows操作系統的計算機管理控制臺可以讓具有超級用戶權限的調查人員進入
計算機獲取相關信息。這種取證方法的缺點是一些非常機警的調查對象使用檢測
工具檢測當前連接用戶時有可能把這種調查活動檢測出來。
③使用后門程序執行遠程獲取：后門程序是網絡黑客經常使用的一種計算機
系統攻擊手段，主要用于竊取計算機系統中的相關信息，近年來后門程序也被司法
部門應用于合法的犯罪偵查和證據收集。用于調查的后門程序通常不允許自行復
制，應該處于調查人員的完全控制之下。為了保證后門程序不被調查對象發現，后
門程序通常要采用潛行技術，例如，將網絡流量減至*小并避免在硬盤上存儲文
件，當因條件限制需要進行本地存儲時，通常會采取相應的迷惑措施。同時用于偵
查和證據獲取的后門程序還應該能夠繞過被調查目標可能采取的各種安全措施，
如防火墻或入侵檢測系統(IDS)。這種取證方法可以獲得上述兩種取證方法所能
獲得的各種信息，且具有較好的隱蔽性，但隨著操作系統的不斷更新和計算機安全
技術的不斷發展，取證程序通常需要保持較快的更新速度，以適用不斷變化的系統
環境。
(2)動態系統的公開獲取
動態系統的公開獲取是運用公開手段在運行系統上獲得易失信息的行為或對
系統中可能存在的異常狀況進行監控。運用公開獲取手段獲取的動態系統的相關
信息通常包括：
①當前運行的進程和服務。
②打開的進程和應用程序。
③訪問本機的網絡連接。
④用戶、計算機正在訪問的網絡連接。
⑤內存中的內容。
⑥系統日志。
⑦IDS、防火墻、ftp、WWW和反病毒軟件日志。
⑧系統的審計記錄。
⑨網絡流量。
⑩操作系統的臨時文件或隱含文件。
11據庫的l臨時文件或隱含文件。
⑩數據庫操作記錄。
⑩硬盤驅動的交換分區。
⑩slack區和空閑區。
⑩軟件設置。
⑩完成特定功能的腳本文件。
⑩Web瀏覽器數據緩沖。
⑩書簽、歷史記錄或會話日志。
書友推薦
- >
小考拉的故事-套裝共3冊
- >
我與地壇
- >
月亮與六便士
- >
二體千字文
- >
推拿
- >
朝聞道
- >
巴金－再思錄
- >
名家帶你讀魯迅:故事新編
本類暢銷
