




版权说明:本文档由用户提供并上传,收益归属内容提供方,若内容存在侵权,请进行举报或认领
文档简介
2025/1/29第13章计算机与网络取证技术13.1基本概念13.2计算机取证技术13.3网络取证13.4取证工具13.5习题13.1基本概念计算机取证计算机取证技术就是在计算机的存储介质,如硬盘或其它磁盘中,进行信息检索和调查。网络取证网络取证是从网络存储设备中获取信息,也就是从网络上开放的端口中检索信息来进行调查。网络取证特点网络侦查中,双方对系统的理解程度是一样的在网络取证的很多情况下,侦查员与罪犯使用的是同种工具。2025/1/2913.2计算机取证技术13.2.1计算机取证基本元素13.2.2计算机取证过程13.2.3计算机证据分析2025/1/2913.2.2计算机取证过程寻找证据痕迹:包括指纹,刀痕,鞋印或其它遗留下来的痕迹;生物痕迹:包括血迹,毛发,指甲壳,汗液等;信息痕迹:保存在存储设备中的二进制数据等。处理证据证据提取和证据保管,证据保管包括包装,存储和运输。2025/1/29证据恢复尽可能将所有的证据都收集到,避免重回现场取证对大容量硬盘中的证据,有必要在提取时使用压缩和复制的方式对于每个项目中提取的证据,要分配一个唯一的标识号,并在每一个项目上写出简短的介绍当所有证据都被收集并分类整理之后,就要将其存放在一个安全的位置,来保证证据的完好无损。对加密证据可以借助借助各种工具进行解密2025/1/29证据保存将证据封装并进行归类,然后放置于无静电环境下。确保封装后的证据不会被过冷,过热或过湿的环境所影响。将原始数据进行备份,对所有嫌疑存储介质做磁盘镜像。条件允许情况下,要对证据数据进行加密。加密可同时被侦查员和罪犯所用。作为罪犯,一般利用加密进行内容隐藏;作为侦查员,一般利用加密保证证据的保密性和完整性。存储证据时,要对证据执行可信的访问控制策略,以确保证据只能被授权人员使用。证据传输由于在传输过程中,可信的内部人员能够接触到证据,因此为保持监管,应该检查沿途所有处理过证据的人员的数字签名。在传输过程中,要使用一些强大的数据隐藏技术,例如数据加密,信息隐藏,密码保护等对证据进行保护。需要一些方法能够检测出信息证据在传输过程中是否出现过更改变动。2025/1/2913.2.3计算机证据分析隐藏的证据已被删除的数据:系统中被删除的数据是可以用十六进制编辑器手动恢复的隐藏的文件:数据隐藏是取证分析中需要面对的一个重大问题坏块:侦查员对所有的“不良磁道”进行检查之前,不要格式化磁盘,因为这样有可能会使“不良磁道”的隐藏信息丢失。隐写术:侦查员在取证调查时就应该将搜查的范围扩大,避免隐藏的信息分散注意力2025/1/29操作系统的证据分析(1)Microsoft文件系统在对硬盘信息进行映像之前,要对分析平台的所有文件进行病毒扫描;在建立硬盘映像之后,继续运行病毒扫描,包括硬盘驱动器的复本;恢复所有删除的文件,将其保管到一个安全的位置;对所有恢复的证据进行分析和处理。(2)UNIX和Linux文件系统维护系统中正在运行的所有数据,保护系统中运行程序的状态2025/1/2913.3网络取证13.3.1入侵分析2025/1/2913.3.1入侵分析入侵分析就是对端口扫描以及后门、间谍软件或木马等事件进行处理,及时发现破坏系统安全的行为。目的:回答以下问题:谁进入了系统、采取何种方式进入系统、发生了什么事件、该事件中取得了哪些教训、能否避免同种事件再次发生。主要功能:收集数据与分析数据提供服务:事故应急响应预案、应急响应、入侵数据的技术性分析、攻击工具的逆向追踪。2025/1/29三个部分监视与警报:系统达到实时监控与报告的能力修复与报告:快速识别入侵并修复所有已查明的弱点或及时阻止攻击并将该事件上报给责任主体追捕与检举:对事件进行监控,当入侵发生时及时收集证据,并将证据直接上报给执法部门最终产品包括一系列的文档,记录系统的行为活动,事发前系统的配置信息,以及其他一些相关信息等,如接触系统的人员名单及人员行为,工具的使用及工具使用者2025/1/29(一)应急响应预案(二)应急响应事件报告最先发现事件的人是谁,首先采取了哪些响应措施。事件控制要尽可能地阻止事件继续进行,减小事件带来的影响步骤:确定受影响的系统,拒绝攻击者访问,移除流氓进程,重新获取控制。2025/1/29(三)入侵技术分析特点不同于计算机侦查取证,网络取证的大部分证据都不在一个主机或一个存储设备中,需要搜索大量的硬盘驱动器和大量的计算机。信息来源网络服务提供商(ISP):RADIUS记录有连接分配的IP地址,连接的时间,连接者的号码,登陆名等等电子邮件:邮件上注明了邮件的发信人地址和收信人地址,邮件服务器中会保存具体的信息日志2025/1/29(四)逆向追踪通常防范黑客的技术就是抓取一个有问题的数据包,然后对其进行分析,从而了解数据包的工作方式与原理,最终达到防御的目的。这也常常用于反病毒技术中,通过抓取病毒特征签名学习病毒的工作方式,最终推出具体的反病毒方案。2025/1/2913.4取证工具13.4.1计算机取证工具13.4.2网络取证工具2025/1/2913.4.1计算机取证工具基于软件的取证工具查看程序:报告系统盘上的系统文件和文件类型。驱动器镜像:普通的文件复制工具容易错过隐藏数据,而取证软件可以捕获所有闲置的空间,未分配领域等,从而避免漏掉隐藏数据。磁盘擦:用于强力清除磁盘中的所有内容。信息检索:通过键入关键字对大量数据快速遍历以寻找线索。基于硬件的取证工具固定的便携或轻量级的:笔记本电脑写阻断器:可以使侦查员在不关闭系统的情况下对硬件驱动器进行移除和重连接操作2025/1/2913.4.2网络取证工具Tcpdump可以在大量信息中过滤个别符合条件的数据包Strings可以根据网络数据传递相应的信息商用取证工具在网络中通过监控网络中每个端口的流量来监控内部、外部的网络数据,通过这些数据,就可以知道网络上的用户行为与行为对象。侦查探针2025/1/292025/1/2913.5习题一、选择题1.犯罪侦查三个核心元素中不包括下列哪一项? A.与案件有关的材料 B.案件材料的合法性 C.案件材料的逻辑性 D.线索材料2.通过对校验和进行加
温馨提示
- 1. 本站所有资源如无特殊说明,都需要本地电脑安装OFFICE2007和PDF阅读器。图纸软件为CAD,CAXA,PROE,UG,SolidWorks等.压缩文件请下载最新的WinRAR软件解压。
- 2. 本站的文档不包含任何第三方提供的附件图纸等,如果需要附件,请联系上传者。文件的所有权益归上传用户所有。
- 3. 本站RAR压缩包中若带图纸,网页内容里面会有图纸预览,若没有图纸预览就没有图纸。
- 4. 未经权益所有人同意不得将文件中的内容挪作商业或盈利用途。
- 5. 人人文库网仅提供信息存储空间,仅对用户上传内容的表现方式做保护处理,对用户上传分享的文档内容本身不做任何修改或编辑,并不能对任何下载内容负责。
- 6. 下载文件中如有侵权或不适当内容,请与我们联系,我们立即纠正。
- 7. 本站不保证下载资源的准确性、安全性和完整性, 同时也不承担用户因使用这些下载资源对自己和他人造成任何形式的伤害或损失。
最新文档
- 2025房地产项目工程承包合同模板
- 二零二五年度沉井施工合同变更协议书模板下载
- 二零二五年度体育赛事赞助合同范本下载
- 二零二五年度山地治理挡土墙施工劳务分包合同文本
- 二零二五年度LED天花灯具采购合同
- 2025版新能源汽车充电网络建设独家代理合同
- 2025房地产养老社区包销管理服务协议
- 二零二五年度旅游度假村营销代理协议
- 2025年物流配送中心地皮买卖合同
- 2025年绿色建筑内部施工项目承包合同
- 医院满意度调查工作制度(二篇)
- 地表水体长度和面积遥感监测技术规范
- 工程项目档案试题
- 银行账户基本信息表
- GB/T 33213-2016无损检测基于光纤传感技术的应力监测方法
- GB/T 2652-1989焊缝及熔敷金属拉伸试验方法
- GB/T 24824-2009普通照明用LED模块测试方法
- 建筑设计防火规范2001修订版
- 2022年临沂科技普通中等专业学校教师招聘笔试题库及答案解析
- 动物医院-危重病例协议书
- 贵州省建筑与装饰工程计价定额(2023版)
评论
0/150
提交评论