电子取证流程与技术

数据安全法律法规详解：数据安全法解读

电子取证流程与技术

根据大佬们的经验大佬们汇总出一系列取证流程、理论和模型；

在模型中，会详细介绍以下三种：

1、KRUSE和HEISER模型---称为""三模型"，分为三个阶段，每个阶段名称都有字母A开头;

o Acquire（获取）

o Authentication（认证）

o Analyze（分析）

2、耶鲁大学模型--由当时耶鲁大学IT系统的安全主管Casey开发，与应急响应相似，包括六个阶段；

o 初步考虑 → 规划 → 识别 → 固定、收集和记录 → 分类、比较和个性化处理 → 事件重构

3、Rodney McKemmish 模型--由澳大利亚的警察提出，是由调查中的四个阶段组成；

o 识别 → 固定 → 分析 → 记录

总结：

o 模型有很多，但相互之间都有相同之处；

o 每个模型都在强调特定的流程；

o 虽然主要有相似和不同之处，但主要目的都是提取可以用于法庭的电子证据；

注：法院只有在确认属违法行为后，才会对受理案件进行依法获取数据；

执法部门与法院之间的三个主要过程：

方法学模型核心内容：

方法学模型总结：

详情讲解：

1、准备阶段：

找到最擅长此类案件的专家，针对犯罪现场需要哪些使用的工具和方法，勘察取证人员应对勘察现场的法律文书和明确目标等；

2、犯罪现场阶段：

此阶段包括两个环节（收集、固定），这些操作必须遵守严格的流程方式，尽可能保护现场的原始状态，最大程度保护潜在证据，多方面考虑处置措施；

可以从设备中提取数据到另在的介质上，以保证原始数据的完整性,防止损害再次发生；

固定电子数据是确定犯罪嫌疑人是犯罪行为人的;

对于传统手机和智能手机设备，在犯罪现场有以下基本流程：

1. 如果手机处于关机状态，无论任何原因请不要重新开机；

2. 如果手机是开机状态，请不要关闭手机，并检查电池电量，确保电量耗尽之前到达实验室

§ 将手机网络断开，如条件允许开启飞行模式，或将手机放置网络隔离设备中；

§ 拍照并录制屏幕上的信息及内容；

§ 尽可能记录手机序列号（诺基亚电话输入*#06#）参考链接：手机序列号查询 - 百度文库 (baidu.com)；

§ 拔掉电源插头

§ 基于任何原因将手机中的SIM卡取出，都可能造成通话记录都涉及，包括拨打、接听或未接电话等信息记录；

§ 手机尽可能保存在适当条件下，避免不必要的外界因素导致手机丢失；

§ 在获取手机时接到新的来电，应立即断开手机网络，无论是什么原因，都会手机产生新的数据，可能会破坏手机中的重要数据；

§ 手机应移交给取证实验室，包括相关电源等关联物品；

§ 如果手机有密码一类，应及时与嫌疑人确定清楚，以节省时间和精力；

对于存储介质，在犯罪现场有以下基本流程：

1. 如果存储介质连接到手机或电脑设备，根据案例不同，有的可以稍等至数据复制完成；

但有的发现处于数据同步模式的备份，则意味着可能有很多数据需要复制，时间要久一些，没办法等待；

2. 如果存储介质未链接到任何设备上时

§ 做好记录，在什么位置发现该存储介质；

§ 把存储设备放在特制的防护箱中，移交至电子数据取证实验室；

3. 如果存储设备是移动硬盘一类，应记录其序列号并进行拍照，收集相关数据线信息；

犯罪现场勘查校验流程图示：

3、电子取证实验室阶段

未完~~待续~~

注：

封面来源于公共图库；

笔记内容来源于书籍-电子数据取证

----------------往期精选-----------------

取证常用工具

物联网安全-第五章

物联网安全测试-第四章

apk安全测试常用工具

代码审计报告模板

数据加密-密码学

apk安全测试笔记

  国内首本成体系的kerberos域网络安全教程，填补域网络安全书籍空白。域网络安全非常重要，但是市场上关于域网络安全的图书都是国外引进，并不完全适应我国企业需求，本书则从国内企业的实际需求出发，介绍符合实际的攻防对抗方案，更有参考价值。

原文始发于微信公众号（安全猎人）：电子取证流程与技术