11、数字取证中的数据成像、证据完整性与工具使用

数字取证中的数据成像、证据完整性与工具使用

1. 防止证据修改与写保护工具

在数字取证过程中，防止原始证据被修改至关重要。为实现这一目标，需使用写保护工具。写保护工具能阻止数据写入证据介质，可分为硬件和软件两类。若没有硬件写保护工具，软件版本在一些法医操作系统（如 C.A.I.N.E）中作为独立功能存在，也包含于某些商业和开源工具（如 EnCase 和 Autopsy）中。

以下是写保护工具的类型及特点：
| 类型 | 特点 |
| ---- | ---- |
| 硬件写保护工具 | 物理设备，直接作用于存储介质 |
| 软件写保护工具 | 存在于操作系统或工具中，通过软件逻辑实现保护 |

使用写保护工具可确保原始证据不被篡改，以下是一款价格实惠且高效的便携式 SATA 和 IDE 适配器，带有写保护开关，用于驱动器数据获取和恢复。

2. 数据成像与证据完整性

2.1 数据成像

数据成像指精确复制数据，可对文件、文件夹、分区或整个存储介质进行复制。普通文件和文件夹复制时，部分文件可能因系统属性或隐藏属性而未被复制。为避免遗漏文件，需进行特殊复制，即逐位复制数据，如同为数据拍摄快照。

2.2 物理或法医镜像

逐位复制数据形成的副本称为物理或法医镜像。进行位流复制可确保副本的完整性。为进一步验证，需计算并比较原始证据和物理镜像的哈希值。若法医副本有一位数据不同，相应算法生成的哈希值将差异显著。

2.3 哈希算法

哈希值由特定算法生成，用于验证证据完整性，证明数据未被修改。常见的哈希算法有：