6、计算机取证调查全攻略

计算机取证调查全攻略

1. 可疑文件调查

在对计算机进行调查时，首先应关注那些代表可疑内容的文件。可疑项目可能包括游戏或扑克牌图标。例如，在一个文件列表中，带有扑克牌图标的“freeplus”项目实际上是一款游戏，对于大多数公司和系统而言，这可能违反规定，不应安装在电脑上。

除了明显的可疑图标文件，还需留意隐藏文件。隐藏文件是开启了特殊隐藏属性的文件，正常情况下用户不可见。比如，在执行DOS的DIR命令时，隐藏文件不会被列出，但大多数文件管理工具允许查看隐藏文件。像DOS会隐藏一些系统文件，如MSDOS.SYS和IO.SYS，以防止意外损坏。同时，用户也可以为普通文件开启隐藏属性，避免他人随意查看。在Macintosh系统中，可使用ResEdit工具隐藏文件。

查看隐藏文件对于调查至关重要，若未在文件夹选项中设置允许查看隐藏文件，可能会遗漏重要证据。以下是在Windows系统中查看隐藏文件的操作步骤：
1. 打开资源管理器。
2. 从资源管理器的顶部菜单中，选择“查看”。
3. 点击“文件夹选项”。
4. 在弹出框中，选择“查看”选项卡。
5. 若单选按钮设置为不显示隐藏文件，需重新设置，确保能看到隐藏文件，以获取完整的文件列表。

2. 证据关联方法

当收集到文件证据和数据后，可以绘制访问模式图或列出非法软件及其加载时间。接下来，需要将访问和下载的日期、时间与考勤表、监控记录及其他证人陈述进行核对，以确保受调查的嫌疑人确实有机会使用相关电脑进行未经授权的操作。

例如，如果员工的台式电脑在其未上班的日期下载了非法软件，就需要寻找其他支持证据，如显示可能从外部/远程位置访