计算机取证如何进行计算机取证

Answer 1

在进行计算机取证时，首要任务是尽早搜集证据，并确保其未被破坏。在证据提交法庭前，必须保证其完整性，即从原始状态到法庭状态之间，证据不应有任何变化，最好是保持不变。计算机取证全程都必须在监督下进行，由委托方的专家执行的所有取证工作应受另一方专家的监督。计算机取证的步骤主要包括：

首先，冻结目标计算机系统以保护，防止犯罪嫌疑人破坏证据。确保系统设置不变、硬件无损、数据完整且无病毒感染。

其次，确定电子证据。在数据量庞大的情况下，需识别哪些数据是关键证据，哪些是无关信息。寻找由犯罪嫌疑人留下的活动记录，确定其存放位置和存储方式。

接下来，收集电子证据。记录系统硬件配置和连接情况，以便将计算机安全转移至分析区域。对目标系统磁盘数据进行镜像备份，并利用取证工具收集关键数据，记录日期、时间并进行分析。重要证据需备份至光盘或打印成文件。

使用自动搜索功能识别可疑电子证据，确认后传至取证服务器。对网络日志数据进行备份，并通过犯罪信息挖掘进一步分析。各类电子证据分类存入取证服务器特定目录，并记录文件类型、来源等信息。

最后，保护电子证据。对数据镜像备份介质加封条妥善存放，并采取安全措施保护获取的证据，限制无关人员访问。避免删除或修改文件，以防重要证据永久丢失。

扩展资料

计算机取证(Computer Forensics)在打击计算机和网络犯罪中作用十分关键，它的目的是要将犯罪者留在计算机中的“痕迹”作为有效的诉讼证据提供给法庭，以便将犯罪嫌疑人绳之以法。