什么是数字取证？历史、过程、类型、挑战
Oliver Jones 什么是数字取证？
数字取证被定义为保存、识别、提取和记录计算机证据的过程，这些证据可供法庭使用。这是一门从计算机、手机、服务器或网络等数字媒体中查找证据的科学。它为取证团队提供了解决复杂的数字相关案件的最佳技术和工具。
数字取证有助于取证团队分析、检查、识别和保存存储在各种类型电子设备上的数字证据。
数字取证的历史
以下是数字取证历史上的重要里程碑
- 汉斯·格罗斯（1847-1915）：首次将科学研究用于指导刑事调查
- FBI（1932）：设立实验室，为全美所有外勤人员和其他执法机构提供取证服务。
- 1978年，佛罗里达州计算机犯罪法案承认了第一起计算机犯罪。
- 弗朗西斯·高尔顿（1982-1911）：进行了首次有记录的指纹研究
- 1992年，计算机取证一词出现在学术文献中。
- 1995年成立了国际计算机证据组织（IOCE）。
- 2000年，成立了FBI首个地区计算机取证实验室。
- 2002年，数字证据科学工作组（SWGDE）出版了第一本关于数字取证的书，名为《计算机取证最佳实践》。
- 2010年，Simson Garfinkel指出了数字调查面临的问题。
计算机取证的目标
以下是使用计算机取证的基本目标
- 它有助于以一种能够帮助调查机构将其作为证据提交法庭的方式来恢复、分析和保存计算机及相关材料。
- 它有助于推测犯罪动机和主要罪犯的身份。
- 在可疑犯罪现场设计程序，以确保获得的数字证据没有被损坏。
- 数据采集和复制：从数字媒体中恢复已删除的文件和已删除的分区，以提取证据并进行验证。
- 帮助您快速识别证据，并能估计恶意活动对受害者的潜在影响。
- 生成计算机取证报告，提供调查过程的完整报告。
- 通过遵守证据链来保存证据。
数字取证流程
数字取证包含以下步骤
- 标识
- 保存
- 分析
- 文档
- 表示
让我们详细研究一下
标识
这是取证过程的第一步。识别过程主要包括存在哪些证据、证据存储在哪里以及最后证据以何种格式存储。
电子存储介质可以是个人电脑、手机、PDA等。
保存
在此阶段，数据被隔离、保护和保存。它包括阻止人们使用数字设备，以免数字证据被篡改。
分析
在此步骤中，调查人员会重构数据碎片并根据发现的证据得出结论。然而，可能需要进行多次检查才能支持特定的犯罪理论。
文档
在此过程中，必须创建所有可见数据的记录。它有助于重现犯罪现场并进行审查。它涉及对犯罪现场进行适当记录，包括拍照、绘制草图和绘制犯罪现场地图。
表示
在最后一步中，对结论进行总结和解释。
然而，它应该以通俗易懂的语言编写，并使用抽象的术语。所有抽象的术语都应引用具体细节。
数字取证的类型
数字取证的三种类型是
磁盘取证
它通过搜索活动、修改或已删除的文件来处理从存储介质中提取数据。
网络取证
它是数字取证的一个子分支。它涉及监控和分析计算机网络流量，以收集重要信息和法律证据。
无线取证
它是网络取证的一个部门。无线取证的主要目的是提供从无线网络流量收集和分析数据的工具。
数据库取证
它是数字取证的一个分支，涉及数据库及其相关元数据的研究和检查。
恶意软件取证
该分支处理恶意代码的识别，研究其载荷、病毒、蠕虫等。
邮件取证
处理电子邮件的恢复和分析，包括已删除的电子邮件、日历和联系人。
内存取证
它处理从系统内存（系统寄存器、缓存、RAM）中以原始形式收集数据，然后从原始转储中提取数据。
手机取证
它主要处理手机的检查和分析。它有助于检索电话和 SIM 联系人、通话记录、来电和去电短信/彩信、音频、视频等。
数字取证面临的挑战
以下是数字取证面临的主要挑战
- PC 的增加和互联网接入的广泛使用
- 易于获得的黑客工具
- 缺乏物证使得起诉困难。
- TB 级的海量存储空间使得调查工作变得困难。
- 任何技术变化都需要对解决方案进行升级或更改。
数字取证的示例用途
近年来，商业组织在以下类型的案件中使用了数字取证
- 知识产权盗窃
- 工业间谍活动
- 雇佣纠纷
- 欺诈调查
- 工作场所不当使用互联网和电子邮件
- 伪造相关事项
- 破产调查
- 与监管合规性有关的问题
数字取证的优点
以下是数字取证的优点/好处
- 确保计算机系统的完整性。
- 在法庭上提供证据，从而可以惩罚罪犯。
- 它有助于公司在计算机系统或网络受到侵害时捕获重要信息。
- 有效地追踪来自世界任何地方的网络罪犯。
- 有助于保护组织的金钱和宝贵时间。
- 允许提取、处理和解释事实证据，从而在法庭上证明网络犯罪行为。
数字取证的缺点
以下是使用数字取证的主要缺点/劣势
- 数字证据被法庭接受。但是，必须证明没有被篡改。
- 生成和存储电子记录是一项极其昂贵的事情。
- 法律从业者必须具备丰富的计算机知识。
- 需要提供真实可信的证据。
- 如果用于数字取证的工具不符合规定的标准，那么在法庭上，证据可能会被法官否决。
- 调查人员缺乏技术知识可能无法取得预期结果。
摘要
- 数字取证是保存、识别、提取和记录计算机证据的过程，这些证据可用于法庭。
- 数字取证过程包括 1）识别，2）保存，3）分析，4）文档和 5）演示。
- 不同的数字取证类型包括磁盘取证、网络取证、无线取证、数据库取证、恶意软件取证、邮件取证、内存取证等。
- 数字取证科学可用于处理诸如 1）知识产权盗窃，2）工业间谍活动 3）雇佣纠纷，4）欺诈调查之类的案件。
